TAYGUN DELİOĞLU/ İnternette bir alışveriş yaptığımızda, haber okuduğumuzda ya da bir şirketin internet sitesini ziyaret ettiğimizde arka planda onlarca farklı işlem gerçekleşiyor. Kullanıcı bilgilerinin işlenmesinden sayfaların oluşturulmasına, dosyaların yüklenmesinden veri tabanlarıyla iletişim kurulmasına kadar pek çok görev, sunucularda çalışan yazılımlar tarafından yürütülüyor. Bu sistemlerin önemli bileşenlerinden biri olan PHP'de ortaya çıkan iki kritik güvenlik açığı, dijital dünyanın görünmeyen altyapısının ne kadar önemli olduğunu bir kez daha gündeme taşıdı.
PHP geliştirme ekibi, 21 Ekim 2026'da yayımladığı güvenlik duyurusunda, sistemlerde uzaktan kod çalıştırılmasına yol açabilecek iki açığı açıkladı. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kayıt altına alınan bu açıkların her biri, CVSS adı verilen uluslararası güvenlik değerlendirme sisteminde 10 üzerinden 9,2 puanla "kritik" seviyede sınıflandırıldı. Avrupa Birliği Siber Güvenlik Ajansı ENISA ve diğer Avrupa kurumları da kuruluşlara vakit kaybetmeden gerekli güncellemeleri uygulama çağrısında bulundu.
İki güvenlik açığı nasıl çalışıyor?
Güvenlik açıklarının teknik ayrıntılarını anlamak için önce bir sunucunun gelen istekleri nasıl işlediğine bakmak gerekiyor. Bir internet sitesine girdiğimizde tarayıcımız sunucuya bir istek gönderiyor. Sunucu bu isteği alıyor, işliyor ve gerekli yanıtı oluşturuyor. PHP de bu süreçte gelen verileri değerlendiriyor ve ilgili işlemleri yürütüyor.
Normal koşullarda bu işlemler sırasında kullanılan geçici bilgiler doğru biçimde hazırlanıyor ve ihtiyaç sona erdiğinde bellekten temizleniyor. Ancak yazılımda bir hata oluştuğunda, sistemin henüz hazır olmayan veya artık geçerli olmayan bilgileri kullanması mümkün olabiliyor. Açıklanan iki güvenlik açığı da bu tür bellek ve işlem yönetimi sorunlarından kaynaklanıyor.
Açıkların teknik kimliği
CVE-2026-109618 - Bellek yetersizliği sırasında oluşan hata
Sunucu belleği yetersiz kaldığında PHP, bir isteğe ait bazı bilgileri hazırlama işlemini tamamlayamadan durabiliyor. Ardından gelen temizlik işlemi, henüz doğru biçimde hazırlanmamış bilgileri geçerli kabul edebiliyor. Bu durum, bellek yapısının bozulmasına ve uygun koşullarda saldırganın sunucuda kod çalıştırmasına yol açabiliyor.
Teknik tanım: RCE via OOM corruption — bellek yetersizliği sırasında oluşan bozulma üzerinden uzaktan kod çalıştırma.
CVE-2026-109619 - Silinmiş belleğe ait bilgilerin yeniden kullanılması
PHP, gelen istekleri işlerken geçici bilgilerden yararlanıyor. Bu bilgiler artık kullanılmaması gerektiği halde sistemde kalan bir referans nedeniyle sonraki bir işlemde yeniden kullanılabiliyor. Böylece sunucu, geçerliliğini yitirmiş bir bilgiyi hala kullanılabilir sanarak hatalı bir işlem gerçekleştirebiliyor. Belirli koşullarda bu durum da uzaktan kod çalıştırma riski yaratıyor.
Teknik tanım: RCE via stale global state — geçerliliğini yitirmiş iç durum bilgisinin yeniden kullanılması üzerinden uzaktan kod çalıştırma.
Bu iki açığın ortak noktası, saldırganın her durumda sisteme önceden giriş yapmasının gerekmemesi. Savunmasız sunucuya gönderilen özel olarak hazırlanmış istekler, güvenlik açığının tetiklenmesine imkan tanıyabiliyor. Başarılı bir saldırının sonuçları ise sunucunun yapılandırmasına, sahip olduğu yetkilere ve barındırdığı verilere göre değişiyor.
Uzaktan kod çalıştırmak ne anlama geliyor?
Bir bilgisayarın veya sunucunun, kendisine gönderilen komutları yerine getirdiğini düşünelim. Normal şartlarda bu komutlar sistemin kendi yazılımlarından veya yetkili kullanıcılardan geliyor. Uzaktan kod çalıştırma açığı ise saldırganın, sistemin normalde kabul etmemesi gereken bir komutu çalıştırabilmesine kapı aralıyor.
Bu durum, yetkisiz bir kişinin sunucu üzerinde işlem yapabilmesi anlamına gelebiliyor. Sistemin yetkilerine ve diğer güvenlik önlemlerine bağlı olarak verilerin ele geçirilmesi, değiştirilmesi, hizmetlerin aksatılması veya başka sistemlere erişmeye yönelik girişimler mümkün hale gelebiliyor. Ancak bir güvenlik açığının bulunması, bütün bu sonuçların her sunucuda otomatik olarak gerçekleşeceği anlamına gelmiyor.
Yapay zeka güvenlik araştırmalarında devreye giriyor
Haberin dikkat çeken yönlerinden biri de güvenlik açıklarının araştırılmasında yapay zekadan yararlanılması. Yazılımların kaynak kodları milyonlarca satıra ulaşabiliyor. Bu kodlar arasında, yalnızca belirli koşullar bir araya geldiğinde ortaya çıkan hataları bulmak uzmanlar için zaman alıcı bir süreç olabiliyor.
Google Cloud ve Wiz Research tarafından yayımlanan açıklamaya göre araştırmacılar, açıkların tespiti ve giderilmesine yönelik çalışmalarda farklı yapay zeka modellerinden yararlandı. Google DeepMind'ın Gemini 4 Argon modeli de güvenlik açığının bulunması, istismar senaryolarının geliştirilmesi, saldırıların tespiti ve düzeltmenin doğrulanması süreçlerine katkıda bulundu.
Buradaki önemli ayrıntı, yapay zekanın yalnızca yazılım geliştirmeye yardımcı olan bir araç olmaktan çıkıp mevcut yazılımlardaki zayıflıkların incelenmesinde de kullanılabilmesi. Modeller, kodları analiz ederek şüpheli durumları belirlemeye, farklı senaryoları değerlendirmeye ve araştırmacıların test süreçlerini hızlandırmasına yardımcı olabiliyor.
Ancak bu gelişmenin güvenlik açısından iki yönü var. Aynı teknolojiler, savunma ekiplerinin açıkları daha hızlı bulmasını sağlarken kötü niyetli kişilerin de saldırı yöntemleri geliştirmesini kolaylaştırabilir. Dolayısıyla yapay zekanın yaygınlaşması, güvenlik açıklarının bulunması ile bunlara karşı önlem alınması arasındaki süreyi daha da önemli hale getiriyor.
Güvenlik açığı şirketlere ne kaybettirir?
Bir siber saldırının maliyeti yalnızca teknik ekibin sistemi yeniden çalışır hale getirmek için harcadığı zamandan ibaret değil. Saldırıya uğrayan bir e-ticaret sitesi satış yapamayabilir, müşterilerin kişisel bilgileri risk altına girebilir veya şirketin iç sistemleri etkilenebilir. İşin kapsamına bağlı olarak operasyonların aksaması, itibar kaybı ve olayın araştırılması için ek maliyetler de ortaya çıkabilir.
Bu nedenle siber güvenlik, artık yalnızca bilgi teknolojileri departmanının sorumluluğu olarak görülmemeli. Şirket yönetimlerinin kullandıkları sistemleri tanıması, yazılım güncellemelerine kaynak ayırması ve olası bir saldırıya karşı hazırlıklı olması gerekiyor. Dijital altyapının güvenliği, müşteri ilişkilerinden iş sürekliliğine kadar işletmenin farklı alanlarını etkiliyor.
PHP'de ortaya çıkan bu iki açık, dijital ekonomide kullanılan yazılımların sürekli güncel tutulmasının neden kritik olduğunu gösteriyor. Yapay zeka araştırmacılara daha hızlı analiz imkanı sunarken, şirketlerin de tespit edilen risklere karşı aynı hızla harekete geçmesi gerekiyor.
Hangi sistemler risk altında?
PHP ekibinin duyurusuna göre açıklar, PHP 5.4'ten 8.5.11'e kadar uzanan sürümleri kapsıyor. Güvenlik güncellemeleri 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleriyle yayımlandı. PHP 8.1 ve daha eski sürümler ise projenin standart destek süresini tamamladığı için doğrudan PHP ekibinden yeni bir düzeltme almıyor. (PHP 8.2 için desteğin 31 Aralık 2026'da sona ereceğini de göz önünde bulundurmak gerekiyor.) Bazı işletim sistemi dağıtımları veya uzun süreli destek sağlayıcıları ayrıca düzeltme sunabiliyor; bu nedenle eski sürüm kullanan kuruluşların hizmet sağlayıcılarıyla görüşmesi gerekiyor.
Risk yalnızca PHP sürümünü doğrudan yöneten işletmelerle sınırlı değil. Bir şirketin internet sitesi dışarıdan bir ajans tarafından yönetiliyor, başka bir firmadan sunucu hizmeti alınıyor veya hazır bir içerik yönetim sistemi kullanılıyor olabilir. Böyle durumlarda teknik altyapının hangi PHP sürümünde çalıştığı ilk bakışta bilinmeyebilir.
Avrupa kurumlarının ortak uyarısı da tam olarak bu noktaya dikkat çekiyor: Kuruluşlar PHP kullanan uygulamalarını belirlemeli, hizmet sağlayıcılarıyla iletişime geçmeli ve internete açık sistemleri önceliklendirerek güncellemeleri uygulamalı. Güncellemenin hemen yapılamadığı durumlarda, savunmasız uygulamaların geçici olarak internetten izole edilmesi de değerlendirilebilecek önlemler arasında yer alıyor.
PHP nedir, neden bu kadar önemli?
PHP, internet sitelerinin sunucu tarafında çalışan bir programlama dili. Bir internet sitesini yalnızca ekranda gördüğümüz yazı, fotoğraf ve bağlantılardan ibaret düşünmemek gerekiyor. Bu sayfanın arkasında kullanıcı isteklerini işleyen, veri tabanından bilgi alan, üyelik işlemlerini yöneten ve gerektiğinde dosya yüklenmesini sağlayan bir sistem bulunuyor. PHP, bu işlemlerin yürütülmesinde kullanılan teknolojilerden biri.
Örneğin bir e-ticaret sitesinde ürün seçtiğimizde, hesabımıza giriş yaptığımızda veya sipariş oluşturduğumuzda arka planda çeşitli yazılımlar çalışıyor. PHP bu altyapının bir parçasıysa, dilin kendisindeki bir güvenlik hatası, yalnızca tek bir internet sitesini değil, aynı teknolojiyi kullanan farklı uygulamaları da ilgilendirebiliyor.
Üstelik işletmelerin kullandığı yazılımlar her zaman doğrudan PHP olarak görünmüyor. WordPress gibi içerik yönetim sistemleri veya PHP bileşenleri içeren farklı uygulamalar da bu altyapıdan yararlanabiliyor. Bu nedenle şirketlerin yalnızca kendi geliştirdikleri yazılımları değil, kullandıkları hazır sistemleri ve barındırma hizmetlerini de kontrol etmesi gerekiyor.
Siber güvenlik için hangi önlemler alınmalı?
PHP güvenlik açıklarına karşı şirketlerin ve internet sitesi yöneticilerinin uygulayabileceği temel adımlar şunlar:
1. PHP sürümünü hemen kontrol edin.
Sunucuda hangi PHP sürümünün çalıştığını belirleyin. PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 gibi ilgili güvenlik düzeltmesini içeren sürümlere geçin. İşletim sistemi sağlayıcınızın sunduğu güncel güvenlik paketlerini de kontrol edin.
2. Eski ve desteklenmeyen sistemleri yenileyin.
PHP 8.1 ve daha eski sürümler için standart PHP projesinin güncelleme sağlamadığını unutmayın. Güvenlik desteği sunulan bir sürüme yükseltme planı oluşturun; mevcut sağlayıcınızın ek düzeltme sunup sunmadığını doğrulayın.
3. İnternete açık sistemlere öncelik verin.
Kurumsal internet siteleri, e-ticaret platformları, müşteri portalları ve dışarıdan erişilebilen uygulamaları önce kontrol edin. Güncelleme hemen yapılamıyorsa, uzman ekiplerle geçici erişim kısıtlamalarını ve gerekirse izolasyonu değerlendirin.
4. Hosting ve yazılım sağlayıcılarıyla görüşün.
Sunucu başka bir firma tarafından yönetiliyorsa PHP sürümünü, güvenlik yamalarının uygulanıp uygulanmadığını ve işlemin ne zaman tamamlanacağını sorun. WordPress gibi hazır sistemler kullanılıyorsa altyapı bileşenlerinin de kontrol edilmesini isteyin.
5. Güncelleme sonrasında sistemi test edin.
Yeni sürüme geçişin tamamlandığını doğrulayın. Uygulamanın doğru çalıştığını, güvenlik kontrollerinin etkin olduğunu ve güncellemenin tüm sunuculara ulaştığını kontrol edin. Yalnızca ana sunucuyu güncellemek, diğer sistemler eski sürümde kaldıysa yeterli değildir.
6. Yetkileri ve erişimleri sınırlandırın.
Sunucu hesaplarının gereğinden fazla yetkiye sahip olmamasını sağlayın. Yönetici hesaplarında çok faktörlü kimlik doğrulama kullanın; gereksiz servisleri ve dış erişimleri kapatın.
7. Yedekleri ve olay kayıtlarını kontrol edin.
Düzenli yedek alın ve yedeklerin geri yüklenebildiğini test edin. Sunucu kayıtlarını şüpheli hareketler açısından izleyin. Bir saldırı şüphesi varsa yalnızca yazılımı güncellemekle yetinmeyin; uzman desteğiyle olay incelemesi yapın.
8. Ek güvenlik katmanlarını devreye alın.
Uygun yapılandırılmış bir web uygulaması güvenlik duvarı (WAF), zararlı istekleri filtrelemeye yardımcı olabilir. Ancak bu tür önlemler yazılım güncellemesinin yerini tutmaz; asıl çözüm güvenlik düzeltmesini uygulamaktır.
