İnternet sitelerinin yaklaşık yüzde 70’inde kullanılan PHP’de tespit edilen iki kritik güvenlik açığı, güncellenmemiş sunucular için ciddi risk oluşturuyor. Uzaktan kod çalıştırmaya imkân verebilen açıklar nedeniyle bazı Avrupa kamu kurumları sitelerini geçici olarak kapatırken, Wikimedia Foundation da bazı sistemlerini güncelleme sürecinde devre dışı bıraktı.
WordPress başta olmak üzere çok sayıda platformun temelinde bulunan PHP, web sayfalarının sunucu tarafında hazırlanmasını sağlayan bir programlama dili. Açık kaynaklı ve ücretsiz olan dil; içerik yönetimi, kullanıcı girişi, yorum, arama ve çevrim içi mağaza işlevlerinde kullanılıyor.
PHP internet sitelerinde ne işe yarıyor?
Bir ziyaretçi siteyi açtığında sunucu, PHP aracılığıyla sayfanın içeriğini oluşturup tarayıcıya gönderiyor. Metinler, görseller, hesap bilgileri ve diğer dinamik içerikler bu şekilde kullanıcıya sunulabiliyor. Örneğin bir haber sitesinde yayımlanan içerik, veri tabanından alınarak ilgili sayfada gösterilebiliyor.
PHP işlemleri kullanıcının bilgisayarında değil, sunucuda yürütüyor. Site sahiplerinin dille doğrudan çalışması gerekmese de kullandıkları altyapıdaki PHP sürümünün güncel ve güvenli olması önem taşıyor. Dilin bakımına PHP topluluğu ve PHP Foundation gibi kuruluşlar katkıda bulunuyor.
PHP hangi sitelerde kullanılıyor?
W3Techs verilerine göre, sunucu tarafında hangi programlama dilinin kullanıldığı bilinen internet sitelerinin yaklaşık yüzde 70’inde PHP bulunuyor. WordPress ise tüm internet sitelerinin yaklaşık yüzde 40’ına güç veriyor. Bloglar, haber siteleri, küçük işletme sayfaları ve çevrim içi mağazalar bu altyapıdan yararlanabiliyor.
PHP kullanımı WordPress’le sınırlı değil. Drupal, Joomla ve Magento gibi içerik yönetimi veya e-ticaret sistemleri de bu dille çalışabiliyor. Barındırma platformları ve üçüncü taraf yazılımlar da PHP’yi arka planda kullanabildiğinden, bir sitenin bu altyapıya sahip olduğu dışarıdan her zaman anlaşılmayabiliyor.
Güvenlik açıkları neden geniş çaplı risk yaratıyor?
Kaynakta Ekim 2026’da gündeme geldiği belirtilen olayda PHP’de iki kritik açık tespit edildi. Gerekli düzeltmeleri almamış sunucularda bu açıkların, saldırganlara yönetici hesabı ya da parola olmadan uzaktan kod çalıştırma imkânı verebildiği bildirildi.
Uzaktan kod çalıştırma, hedef sunucuda internet üzerinden komut veya kod yürütülmesi anlamına geliyor. Böyle bir erişim, sitenin içeriğinin değiştirilmesine, hassas verilerin ele geçirilmesine ya da sistem kontrolünün kaybedilmesine yol açabilir. Sunucularda saklanan parolalar, API anahtarları, şifreleme sertifikaları ve veri tabanları da risk altında kalabilir.
CERT-EU, açıkları CVSS 4.0 ölçeğinde 10 üzerinden 9,2 olarak değerlendirdi. Bu puan kritik risk düzeyine işaret ediyor. Cloudflare’ın teknoloji yöneticisi de ilk saldırıların görülmeye başladığını açıkladı.
Bazı Avrupa ülkelerindeki kamu kurumları, sistemlerini korumak amacıyla internet sitelerini geçici olarak erişime kapattı. Wikipedia’yı işleten Wikimedia Foundation da güncellemeler güvenli biçimde uygulanana kadar bazı sistemlerini devre dışı bıraktı. Bu önlemler, PHP kullanan bütün sitelerin saldırıya uğradığı anlamına gelmiyor; risk, gerekli yamaları uygulamayan sistemlerde yoğunlaşıyor.
Yapay zekâ açıkların bulunmasında nasıl rol oynadı?
Güvenlik sorunlarının keşfinde yapay zekâ araçlarından yararlanıldı. Calif bünyesindeki araştırmacılar, OpenAI’ın GPT-5.6 Sol modeliyle yürüttükleri çalışma sırasında kritik bir açık belirledi. Google çatısı altındaki siber güvenlik şirketi Wiz de kendi yapay zekâ araçları ve modelleriyle yaptığı araştırmada güvenlik sorunlarını bağımsız olarak ortaya çıkardı.
Wiz’e göre açıkların istismar edilebilir hale getirilmesi, geleneksel yöntemlerle karmaşık ve çok aşamalı bir süreç gerektiriyordu. Yapay zekâ modelleri kod incelemesini, olası hata senaryolarının araştırılmasını ve açıkların nasıl kullanılabileceğinin anlaşılmasını hızlandırdı. Uzun süredir kod tabanında yer alan sorunların saldırı yöntemlerine dönüştürülmesi böylece kolaylaşabiliyor.
Bir açık kamuoyuna duyurulduktan sonra saldırganlar da yayımlanan bilgileri inceleyerek savunma önlemleri tamamlanmadan sistemleri hedef alabiliyor. Bu nedenle güvenlik güncellemelerinin gecikmeden uygulanması önem taşıyor.
İnternet kullanıcıları ve site sahipleri ne yapmalı?
PHP açıkları doğrudan kullanıcıların bilgisayarlarında çalışan bir yazılımı hedef almıyor; risk, PHP kullanan ve gerekli düzeltmeleri yüklememiş sunucularda bulunuyor. Ancak ele geçirilen bir site zararlı yazılım yaymak veya ziyaretçi verilerini çalmak için kullanılabileceğinden kullanıcılar dolaylı olarak etkilenebilir.
Kullanıcıların hizmetlerle ilgili güvenlik duyurularını takip etmesi ve şüpheli sitelere karşı dikkatli olması öneriliyor. Bir sitenin geçici olarak kapatılması tek başına saldırıya uğradığını göstermiyor; erişimi durdurmak, olası riskleri azaltmaya yönelik önleyici bir adım olabilir.
Site işletenlerin PHP kullanıp kullanmadıklarını ve hangi sürümün çalıştığını kontrol etmesi gerekiyor. Barındırma hizmeti sağlayıcısı üzerinden yönetilen sitelerde güncelleme takvimi sağlayıcıdan öğrenilebilir. Özellikle PHP 8.1 ve daha eski sürümlerde çalışanların destek durumunu kontrol edip güncel bir sürüme geçmesi gerekiyor.
Squarespace ve Wix gibi PHP tabanlı olmayan platformlardaki siteler bu özel açıktan aynı şekilde etkilenmiyor. Kendi sunucusunda PHP çalıştıran veya PHP tabanlı içerik yönetim sistemi kullanan site sahiplerinin ise güvenlik güncellemelerini ihmal etmemesi gerekiyor.
