PHP programlama dilinde keşfedilen ve “PHP2Shell” olarak adlandırılan iki kritik güvenlik açığı, dünya genelinde siber güvenlik endişelerine yol açtı. Bu zafiyetler, saldırganların kullanıcı adı veya şifreye gerek duymadan savunmasız sistemlerde uzaktan kod çalıştırmasına olanak tanıyor.
Açıklar, Google’ın çatı şirketi Alphabet bünyesindeki siber güvenlik firması Wiz tarafından tespit edildi. Wiz’in raporuna göre, bu güvenlik açıkları PHP’nin kaynak kodunda 10 yılı aşkın süredir bulunuyordu. Şirket, bu açıkları yazılım tarihindeki en ciddi güvenlik açıklarından bazıları olarak nitelendirdi. Sorunun, PHP’nin çalışma ortamıyla doğrudan ilgili olması, etkilenen PHP sürümlerini kullanan tüm site ve uygulamaları risk altına sokuyor.
PHP geliştiricileri, başlangıçta 22 Ekim 2026 tarihinde yayımlanması planlanan güvenlik güncellemelerini, açıklara dair bilgilerin sızması üzerine bir gün erken, 21 Ekim 2026’da kullanıma sundu. PHP ekibi, güncelleme dışında tam koruma sağlayacak geçici bir çözümün bulunmadığını vurgularken, PHP 8.1 ve daha eski sürümlerin artık resmi olarak desteklenmediği hatırlatıldı.
İnternet tarama şirketi Censys verilerine göre, PHP tespit edilen sunucu sayısı 6 milyonu, web varlığı sayısı ise 115 milyonu aşıyor. Ancak uzmanlar, her PHP kullanan sitenin saldırıya uğramayacağını, asıl riskin güncellenmemiş sistemlerde bulunduğunu belirtiyor. Bir kuruluşun kendi yazılımında PHP kullanmasa dahi, kullandığı bir ürün veya hizmetin içerisinde savunmasız bir PHP bileşeni bulunabileceği ifade ediliyor.
Krizin etkileri Avrupa’da daha belirgin şekilde görüldü. Avrupa Birliği’nin siber güvenlik müdahale ekibi CERT-EU, güncellemeleri uygulayamayan kuruluşları, etkilenen siteleri geçici olarak kapatmaları konusunda uyardı. Belçika’da Siber Güvenlik Merkezi’nin uyarısı üzerine Dışişleri, Maliye ve Çalışma bakanlıklarının internet siteleri ile bazı medya ve eğitim platformları tedbir amacıyla erişime kapatıldı. ABD Ulusal Güvenlik Ajansı da güvenlik yamalarını hemen uygulayamayan kuruluşlara sistemlerini geçici olarak internetten ayırmalarını tavsiye etti.
Türkiye’de ise Siber Güvenlik Başkanlığı, PHP altyapısındaki kritik açıklara karşı ulusal ölçekte güvenlik taramaları başlattığını duyurdu. Başkanlık, kamu kurumları, kritik altyapı işletmecileri ve özel sektör kuruluşlarına acil güvenlik uyarısı gönderdiğini ve önleyici çalışmaların sürdüğünü açıkladı. e-Devlet Kapısı başta olmak üzere kamu dijital hizmetlerinin kesintisiz sunulmaya devam ettiği belirtildi.
Uzmanlar, PHP kullanan site ve uygulama yöneticilerine vakit kaybetmeden güvenlik güncellemelerini uygulamasını öneriyor. Barındırma hizmeti kullananların, yalnızca sürüm numarasını değil, hizmet sağlayıcılarının ilgili güvenlik düzeltmesini uygulayıp uygulamadığını da kontrol etmesi gerektiği belirtiliyor. Yönetim panellerine ve kritik servislere erişimin yalnızca güvenilir bağlantılarla sınırlandırılması da alınabilecek önlemler arasında gösteriliyor.
