Web’in en yaygın programlama dillerinden PHP‘de son yılların en ciddi güvenlik açıklarından biri ortaya çıktı. PHP2Shell adı verilen ve iki CVE kaydı altında toplanan açıklar, saldırganların kimlik doğrulaması gerekmeden etkilenen sunucularda uzaktan kod çalıştırmasına olanak tanıyor. PHP ekibi, sorunları gideren acil güncellemeleri 21 Ekim’de yayınladı.
Uygulamadan bağımsız, doğrudan PHP’nin içinde
Açıkları ortaya çıkaran Wiz Research‘e göre sorunlar, PHP’nin istekleri işlerken ölümcül hataları, özellikle de bellek yetersizliği hatalarını ele alma biçimindeki bellek güvenliği kusurlarından kaynaklanıyor. Bir istek beklenmedik şekilde sona erdiğinde geride bozuk bir iç durum kalabiliyor ve aynı işlemin sonraki bir isteği bu durumu yeniden kullanabiliyor. Sonuç, bellek sızıntısı ya da bellek bozulması.
Wiz, açıkların uygulama kodundan değil doğrudan PHP motorundan kaynaklandığını vurguluyor. Ekip, bu zincirle WordPress, Drupal ve Joomla‘nın en güncel sürümlerinde kimlik doğrulamasız uzaktan kod çalıştırmayı başarıyla gösterdi. Araştırmacılara göre basit bir “Merhaba Dünya” uygulaması bile savunmasız bir PHP sürümünde çalışıyorsa risk altında olabilir. Ayrıca saldırganlar, kod çalıştırmaya gerek kalmadan PHP işleminin belleğinden parola, oturum anahtarı ve API anahtarı gibi hassas verileri okuyabiliyor.
Neredeyse her sürüm etkileniyor
Açıklar CVE-2026-109618 ve CVE-2026-109619 olarak kayda geçti ve CVSS ölçeğinde 9,2 ile kritik seviyede değerlendirildi. Wiz’e göre son on yılda yayınlanan her PHP sürümü, 5.4’e kadar uzanacak şekilde, bu sorunlardan en az birinden etkileniyor. TechTarget’ın aktardığına göre PHP Vakfı; PHP-FPM, mod_php ile Apache, php-cgi, FrankenPHP ve LiteSpeed dâhil web isteklerine hizmet veren tüm PHP kurulumlarının risk altında olduğunu, en yüksek riskin ise mod_php’de bulunduğunu açıkladı. Palo Alto Networks de potansiyel olarak savunmasız 22,6 milyondan fazla açık sunucu tespit ettiğini söyledi.
Yapay zekânın rolü
Olayın dikkat çeken bir diğer yanı, açıkların bulunmasında yapay zekânın oynadığı rol. Wiz, araştırma boyunca kendi aracı Wiz Atlas’ın yanı sıra Google’ın Gemini 4 Argon ve OpenAI’ın GPT-5.6 Sol modellerini kullandığını açıkladı. Ekibe göre kusurlu kod on yılı aşkın süredir oradaydı, ancak bunları çalışan bir saldırıya dönüştürmek, insan araştırmacıların pratikte ulaşabileceği sınırda karmaşık adımlar gerektiriyordu. OpenAI ise bunun, öncü yapay zekânın açığı saldırganlardan önce bulup savunuculara hazırlık süresi kazandırdığı bir örnek olduğunu belirtti.
Açıklama takvimine göre ilk açık 19 Ağustos’ta bulundu, PHP güvenlik ekibine 24 Ağustos’ta bildirildi ve yamalar 21 Ekim’de kamuya açıklamayla birlikte yayınlandı. Bu süreçte Cloudflare, AWS, Microsoft, Google ve Automattic gibi şirketler de geçici koruma önlemleri hazırladı.
Site sahipleri ne yapmalı?
- PHP’yi hemen yamalı sürüme yükseltin: 8.2.35, 8.3.36, 8.4.27 veya 8.5.12.
- PHP 8.1 ve öncesi artık resmi destek almıyor; barındırma sağlayıcınızdan geri taşınmış yamaları isteyin ya da desteklenen bir sürüme geçin.
- Eklenti veya uygulama kodunu güncellemek bu açığı kapatmaz; sorun doğrudan PHP’de.
- Uzmanlar, 20 Ekim’den itibaren sunucu kayıtlarının saklanmasını ve yama öncesi olası bir ihlale karşı sistemlerin incelenmesini öneriyor.
Etkilenen: PHP 5.4 ve sonrası çoğu sürüm
Yamalar: 21 Ekim 2026 (8.2.35, 8.3.36, 8.4.27, 8.5.12)
Kaynak: Wiz Research, TechTarget
Görsel: PHP (resmi logo)