İnternet sitelerinin yaklaşık yüzde 70’inde kullanılan PHP’de tespit edilen iki kritik güvenlik açığı, güncellenmemiş sunucuları uzaktan kod çalıştırma saldırılarına açık hale getirebiliyor. Yapay zeka araçlarının keşif sürecinde rol oynadığı açıklar nedeniyle bazı kamu kurumları ve Wikimedia Foundation, güncellemeler tamamlanana kadar sistemlerini geçici olarak devre dışı bıraktı.
PHP nedir, internet sitelerinde nasıl kullanılıyor?
PHP, internet sitelerinin sunucu tarafındaki işlemlerini yürüten bir programlama dili. Bir ziyaretçi sayfayı açtığında sunucu, PHP aracılığıyla içerikleri hazırlayıp tarayıcıya gönderiyor. Metinler, görseller, hesap bilgileri ve diğer dinamik öğeler bu şekilde görüntülenebiliyor.
Bir haber sitesinde yayımlanan içeriğin veri tabanından alınarak sayfada gösterilmesi buna örnek. Kullanıcı girişi, yorum ve arama işlevleri ile çevrim içi mağazalardaki bazı işlemler de PHP ile geliştirilebiliyor. Bu işler kullanıcının bilgisayarında değil, sunucuda gerçekleşiyor.
Ücretsiz ve açık kaynaklı olan PHP’nin kodu incelenebiliyor ve geliştirilmesine katkı sunulabiliyor. Bakım çalışmaları PHP topluluğu ve PHP Foundation gibi kuruluşların katkılarıyla yürütülüyor. Site sahipleri dili doğrudan kullanmasa bile altyapılarının güvenliği için PHP’nin güncel tutulması önem taşıyor.
PHP internetin ne kadarında kullanılıyor?
W3Techs verilerine göre, sunucu tarafında kullanılan programlama dili bilinen sitelerin yaklaşık yüzde 70’inde PHP bulunuyor. Yaygınlığın önemli nedenlerinden biri WordPress: Aynı veriler, bu içerik yönetim sisteminin tüm internet sitelerinin yaklaşık yüzde 40’ına güç verdiğini gösteriyor.
PHP; bloglardan haber sitelerine, küçük işletme sayfalarından çevrim içi mağazalara kadar farklı alanlarda kullanılıyor. Drupal, Joomla ve Magento gibi sistemler de PHP tabanlı çalışabiliyor. Barındırma hizmetleri ile üçüncü taraf yazılımlar da dili arka planda kullanabildiğinden, bir sitenin PHP kullandığı dışarıdan her zaman anlaşılmayabilir.
Güvenlik açıkları neden bu kadar geniş etki yaratabilir?
PHP’nin yaygınlığı, dilin temelindeki bir açığın potansiyel etkisini büyütüyor. Ekim 2026’da gündeme gelen olayda PHP’de iki kritik güvenlik açığı tespit edildi. Bildirime göre saldırganlar, gerekli düzeltmeleri yüklenmemiş sunucularda yönetici hesabı ya da parola olmadan uzaktan kod çalıştırabilir.
Uzaktan kod çalıştırma, hedef sunucuda internet üzerinden komut veya kod yürütülmesine imkân tanıyor. Bu erişim, sitenin içeriğinin değiştirilmesi, hassas verilerin alınması ya da sistem kontrolünün ele geçirilmesi gibi sonuçlara yol açabilir. Sunucuda bulunan parolalar, API anahtarları, şifreleme sertifikaları ve veri tabanları da risk altına girebilir.
CERT-EU, açıkları CVSS 4.0 ölçeğinde 10 üzerinden 9,2 olarak puanladı. Cloudflare’ın teknoloji yöneticisi de ilk saldırıların görülmeye başladığını bildirdi. Bazı Avrupa ülkelerindeki kamu kurumları, önlem olarak sitelerine erişimi geçici biçimde durdurdu. Wikipedia’yı işleten Wikimedia Foundation da güncellemeleri güvenli şekilde uygulayana kadar bazı sistemlerini devre dışı bıraktı.
Bu önlemler, PHP kullanan tüm sitelerin saldırıya uğradığı anlamına gelmiyor. Risk, gerekli güvenlik güncellemelerini yapmamış sistemlerin saldırılara açık hale gelebilmesi.
Yapay zeka açıkların keşfinde nasıl rol oynadı?
Calif bünyesindeki araştırmacılar, OpenAI’ın GPT-5.6 Sol modeliyle yürüttükleri çalışma sırasında kritik bir açık belirledi. Google çatısı altındaki siber güvenlik şirketi Wiz de kendi yapay zeka araçları ve modelleriyle yaptığı araştırmada güvenlik sorunlarını bağımsız olarak ortaya çıkardı.
Wiz’e göre açıkların geleneksel yöntemlerle istismar edilebilir hale getirilmesi, karmaşık bir dizi adım gerektiriyordu. Gelişmiş yapay zeka modelleri kod incelemesini, olası hata senaryolarının araştırılmasını ve açıkların nasıl kullanılabileceğinin anlaşılmasını hızlandırdı. Böylece uzun süredir kod tabanında bulunan sorunları pratik saldırı yöntemlerine dönüştürmek kolaylaştı.
Bir açık kamuoyuna duyurulduktan sonra saldırganlar da yayımlanan bilgileri inceleyerek savunma önlemleri tamamlanmadan harekete geçmeye çalışabilir. Bu nedenle güvenlik güncellemelerinin gecikmeden uygulanması önem kazanıyor.
Kullanıcılar ve site sahipleri ne yapmalı?
Açıklar doğrudan kullanıcıların bilgisayarlarında çalışan yazılımları değil, PHP kullanan ve güvenlik düzeltmeleri uygulanmamış sunucuları hedef alıyor. Ancak ele geçirilen bir site zararlı yazılım dağıtmak veya ziyaretçi verilerini çalmak için kullanılabileceğinden, kullanıcılar dolaylı olarak etkilenebilir.
Kullanıcıların hizmetlerle ilgili güvenlik duyurularını takip etmesi ve şüpheli sitelere karşı dikkatli olması öneriliyor. Bir sitenin geçici olarak kapatılması ise tek başına saldırıya uğradığını kanıtlamıyor; kurumlar erişimi olası riskleri azaltmak amacıyla da durdurabiliyor.
Site işletenlerin altyapılarında PHP bulunup bulunmadığını ve kullanılan sürümü kontrol etmesi gerekiyor. Barındırma sağlayıcısı üzerinden yönetilen sitelerde güncelleme takvimi hizmet sağlayıcısına sorulmalı. Özellikle PHP 8.1 ve daha eski sürümleri kullananların destek durumunu inceleyerek güncel bir sürüme geçmesi gerekiyor.
Squarespace ve Wix gibi PHP tabanlı olmayan platformlardaki siteler bu özel açıktan aynı şekilde etkilenmiyor. Kendi sunucusunda PHP çalıştıran veya PHP tabanlı içerik yönetim sistemi kullanan site sahiplerinin ise gerekli güncellemeleri ihmal etmemesi gerekiyor.
