Küresel PHP Depremi: PHP2Shell Açığı ve Acil Güvenlik Güncellemesi

PHP’nin çekirdek çalışma ortamında tespit edilen iki kritik güvenlik açığı, internet üzerinden erişilebilen web sunucuları için önemli bir risk oluşturuyor. PHP2Shell adıyla duyurulan CVE-2026-109618 ve CVE-2026-109619, uygun koşullar altında kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına (Remote Code Execution – RCE) yol açabiliyor. PHP geliştirme ekibi, 21 Ekim 2026 tarihinde acil güvenlik güncellemelerini yayımladı.

PHP Nedir ve Bu Açıklar Neden Önemli?

PHP, sunucu tarafında çalışan ve web uygulamalarının dinamik içerik üretmesini sağlayan bir programlama dilidir. Ziyaretçiden gelen HTTP isteği, web sunucusu üzerinden PHP çalışma ortamına iletilir; uygulama gerekli işlemleri tamamlar ve yanıtı üretir. WordPress, Drupal, Laravel tabanlı projeler ve özel yazılımlar PHP kullanabilir. Ancak PHP kullanan her sitenin otomatik olarak savunmasız olduğu söylenemez: risk, çalıştırılan PHP derlemesine, sunucu yapılandırmasına ve mevcut güvenlik yamalarına bağlıdır.

PHP2Shell'in Teknik Arka Planı

CVE-2026-109618, bellek tükenmesi (Out of Memory – OOM) sırasında bazı istek verilerinin yalnızca kısmen hazırlanmış olmasına rağmen temizleme aşamasında geçerli kabul edilmesiyle ilgilidir. C diliyle yazılmış PHP iç bileşenleri bu durumda bellek bütünlüğünü koruyamayabilir.

CVE-2026-109619 ise bir HTTP isteği sona erdiğinde serbest bırakılan belleğe ilişkin iç durum bilgisinin worker sürecinde kalabilmesiyle bağlantılıdır. Aynı worker yeni bir isteği işlerken eski referans yeniden kullanılırsa use-after-free türünde bellek güvenliği sorunları ortaya çıkabilir. Bu tür hatalar her zaman başarılı saldırıyla sonuçlanmaz; ancak belirli koşullarda kod yürütme riskine dönüşebilir.

Bu zafiyetler sıradan bir uygulama giriş kontrolü hatası değil, PHP’nin kendi çalışma zamanı düzeyindeki bellek yönetimi hatalarıdır. Resmî duyuruda Apache mod_php için uygulama kodu çalışmadan önce tetiklenebilen bir istismar yolu da açıklanmaktadır. PHP-FPM, mod_php ve diğer çalıştırma ortamlarında risk değerlendirmesi kurulumun gerçek durumuna göre yapılmalıdır.

Hangi PHP Sürümleri Güncellenmeli?

PHP ekibinin yayımladığı düzeltilmiş sürümler: PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Bu sürüm ailelerindeki daha eski derlemelerin hızla güncellenmesi gerekiyor. Destek dışı PHP sürümleri için desteklenen bir sürüme geçiş öncelikli olmalı; üretici tarafından sağlanan özel veya geriye dönük yamalarda yalnızca sürüm numarasına değil, paketin düzeltmeyi içerdiğine de bakılmalıdır.

Kurumlar Hangi Önlemleri Almalı?

• Envanter çıkarın: Web sunucuları, konteynerler, kontrol panelleri ve arka plan servisleri dahil PHP kullanılan tüm ortamları belirleyin.

• Güvenlik yamalarını uygulayın: İlgili PHP sürümünü üreticinin düzeltme içeren paketiyle güncelleyin; değişiklik öncesinde yedek ve geri dönüş planı hazırlayın.

• Çalışan süreci doğrulayın: Yalnızca komut satırındaki php -v çıktısına güvenmeyin. Web isteklerini işleyen PHP-FPM veya Apache sürecinin gerçekte hangi sürümü kullandığını kontrol edin ve süreçleri yeniden başlatın.

• Geçici önlemleri doğru konumlandırın: WAF, erişim kısıtları ve bazı yapılandırma değişiklikleri riski azaltabilir fakat PHP güvenlik yamasının yerine geçmez.

• Olası istismar izlerini araştırın: Web erişim günlüklerini, PHP hata kayıtlarını, olağandışı worker yeniden başlamalarını, beklenmeyen dosya değişikliklerini ve şüpheli süreç davranışlarını inceleyin.

Dünyada Hangi Hizmetler Etkilendi?

21 Ekim’de Avrupa’daki bazı kamu kuruluşları, risk değerlendirmeleri doğrultusunda web sitelerini geçici olarak erişime kapattı. Almanya’da federal kamu sitelerinin bir bölümü, Fransa’da valiliklere ait internet siteleri, Hollanda’da ise Overheid.nl, MijnOverheid.nl ve DigiD gibi hizmetler önlem amaçlı kapatılan örnekler arasında yer aldı. Bu kararlar, söz konusu kurumların saldırıya uğradığının kanıtı değil; güvenlik güncellemeleri uygulanana kadar alınan ihtiyati tedbirlerdi.

Avrupa dışında da kimi kamu ve özel sektör kuruluşları benzer tedbirlere başvurdu. Dolayısıyla olayın etkisi, yalnızca bir içerik yönetim sistemiyle veya tek bir ülkeyle sınırlı kalmadı.

Türkiye’deki Web Siteleri Açısından Durum

Risk belirli bir ülke ile sınırlı değil. Türkiye’de faaliyet gösteren kurumların PHP kullanan internet siteleri ve uygulamaları da savunmasız sürümler çalıştırıyorsa aynı tehdit kapsamında değerlendirilmeli. Bununla birlikte yalnızca PHP kullanıldığı bilgisi, herhangi bir kurumun ihlal edildiğini veya verilerinin sızdırıldığını göstermez.

Türkiye’de Resmî Açıklama ve E-Devlet Kontrolleri

Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, PHP2Shell riskine karşı ulusal ölçekte güvenlik taramaları başlatıldığını ve ilgili kurumlara önlem çağrısı yapıldığını açıkladı. 22 Ekim’de paylaşılan bilgilere göre e-Devlet Kapısı üzerinde gerçekleştirilen güvenlik kontrolleri tamamlandı ve hizmetlerin güvenliğini veya sürekliliğini olumsuz etkileyen bir bulguya rastlanmadı. Yetkililer, kamu kurumları ile özel sektör kuruluşlarına PHP altyapılarını ve güvenlik güncellemelerini kontrol etme çağrısını yineledi.

Bu açıklama e-Devlet’e ilişkin bildirilen kontrollerin sonucunu ifade ediyor; Türkiye’deki tüm PHP tabanlı sitelerin güvenli olduğu anlamına gelmiyor.

PHP2Shell vakası, yaygın kullanılan bir yazılımın çekirdeğinde ortaya çıkan bellek güvenliği hatalarının web uygulamalarından bağımsız olarak ciddi etki yaratabildiğini gösteriyor. Öncelik; etkilenen PHP kurulumlarını tespit etmek, düzeltmeleri uygulamak, çalışan süreçlerde yamayı doğrulamak ve olası saldırı belirtilerini incelemek olmalıdır.