İnternette her gün yeni bir güvenlik açığı haberi görüyoruz. Bir gün WordPress eklentileri, başka bir gün sunucular, ertesi gün de kullandığımız yazılımların altyapısı gündemde. Bu kez konu, internetin arka planında çalışan ve milyonlarca web sitesinin kullandığı PHP.

21 Ekim 2026’da PHP ekibi, iki kritik güvenlik açığını gidermek için acil güncellemeler yayımladı. Üstelik konu yalnızca yazılımcıların ilgilenmesi gereken teknik bir detay değil. Web sitesi olan, e-ticaret yapan veya dijital ürün yöneten herkesin radarında olması gereken bir gelişme.

Peki tam olarak ne oldu? PHP açığı neden bu kadar önemli ve şimdi ne yapmak gerekiyor?

Önce PHP nedir, neden bu kadar önemli?

PHP’yi, bir web sitesinin ziyaretçilerin görmediği arka tarafında çalışan motorlardan biri olarak düşünebiliriz.

Bir kullanıcı giriş yaptığında, iletişim formunu doldurduğunda, bir ürün satın aldığında veya bir içerik sayfasını görüntülediğinde arka planda PHP devreye giriyor olabilir. WordPress gibi yaygın içerik yönetim sistemleri de PHP kullanıyor.

Dolayısıyla PHP’deki bir güvenlik açığı, tek bir web sitesini ilgilendiren küçük bir sorun olmaktan çıkabiliyor. Kullanılan sürüme ve sunucu yapılandırmasına bağlı olarak çok sayıda web uygulamasını etkileyebiliyor.

Üstelik kendi web sitenizin hangi PHP sürümünü kullandığını bilmiyor olabilirsiniz. Bu oldukça normal. Çünkü PHP çoğu zaman hosting altyapısında çalışıyor ve günlük site yönetimi sırasında karşımıza çıkmıyor.

Ta ki böyle bir haber gündeme gelene kadar.

Peki ne oldu? PHP’de hangi açıklar bulundu?

PHP ekibi, 21 Ekim’de iki kritik güvenlik açığı için güncelleme yayımladı:

• CVE-2026-109618: Bellek yönetimiyle ilgili bir hata.
• CVE-2026-109619: Önceki bir isteğe ait bazı dahili verilerin bellekte geçerliliğini yitirdikten sonra kullanılabilmesiyle ilgili bir hata.

Teknik isimleri bir kenara bırakalım. Bu hatalar, belirli koşullarda saldırganların sunucu üzerinde uzaktan kod çalıştırmasına imkân verebiliyor. Üstelik saldırganın önceden bir kullanıcı hesabına sahip olması gerekmeyebiliyor.

Bu ne demek?

Bir saldırgan, savunmasız bir sisteme özel olarak hazırlanmış istekler göndererek sunucuda kendi istediği kodları çalıştırmayı deneyebilir. Sistemin izinlerine bağlı olarak bu durum dosyalara, uygulama verilerine veya diğer kaynaklara erişilmesine kadar ilerleyebilir.

Her savunmasız sitenin saldırıya uğradığı anlamına gelmiyor. Ancak olası sonuçların ağırlığı, bu açığı ciddiye almak için yeterli.

PHP ekibi, her iki açığı da CVSS 4.0 ölçeğinde 9,2 puanla değerlendirdi. Bu, kritik seviyede bir güvenlik riski demek.

Resmî duyuru: PHP güvenlik güncellemesi ve teknik ayrıntılar.

Neden şimdi bu kadar konuşuluyor?

Çünkü sorun yalnızca tek bir uygulamayla sınırlı değil. PHP kullanan web sunucuları, farklı yazılımlar ve çeşitli hosting yapılandırmaları bu riskten etkilenebiliyor.

Avrupa Birliği Siber Güvenlik Ajansı (ENISA) ve diğer Avrupa kurumları da 21 Ekim’de yayımladıkları ortak açıklamada kuruluşlara acil önlem çağrısı yaptı.

Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC) ise kuruluşların PHP kullanan sistemlerini belirlemesini, internete açık sistemleri önceliklendirmesini ve güncellemeleri geciktirmemesini önerdi.

Bir başka önemli nokta da şu: Güvenlik açığının ayrıntıları yayımlandıktan sonra saldırganların savunmasız sistemleri tespit etmesi ve bilinen yöntemleri denemesi kolaylaşabiliyor. CERT-EU da ilk saldırı kanıtlarının ortaya çıkmaya başladığına ve riskin arttığına dikkat çekti.

Kaynaklar:

• ENISA – Kritik PHP açıkları hakkında ortak açıklama
• NCSC – PHP güvenlik uyarısı
• CERT-EU – Güvenlik danışma notu

Buradan çıkarılacak sonuç basit: “Bizim site bugüne kadar hiç saldırıya uğramadı” demek, bugün de güvende olduğumuz anlamına gelmiyor.

Web sitesi olanlar şimdi ne yapmalı?

Gelelim en önemli kısma. Çünkü güvenlik haberlerini okuyup endişelenmek kolay, yapılacakları bilmek ise çok daha değerli.

1. Önce hangi PHP sürümünü kullandığınızı öğrenin

Web sitenizin hosting paneline girerek PHP sürümünü kontrol edin. Bu bilgiye ulaşamıyorsanız hosting sağlayıcınızdan veya yazılım ekibinizden destek alın.

WordPress kullanıyorsanız yönetim panelindeki Araçlar → Site Sağlığı → Bilgi → Sunucu bölümünden PHP sürümünü görebilirsiniz.

2. Güvenlik güncellemesini ertelemeyin

PHP ekibinin yayımladığı güvenlik düzeltmelerini içeren sürümler şunlar:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Kullandığınız sürüme uygun düzeltmeyi uygulayın veya daha yeni, desteklenen ve bu açıkları gideren bir sürüme geçin. Güncelleme öncesinde uyumluluk ve yedekleme kontrollerini yapmayı unutmayın.

PHP 8.1 ve daha eski sürümler, PHP projesinden standart güvenlik desteği almıyor. Bu sürümlerden birini kullanıyorsanız yalnızca mevcut sürümünüzü güncellemek yerine desteklenen bir sürüme geçişi planlamanız gerekebilir. İşletim sistemi sağlayıcınızın ek güvenlik desteği sunup sunmadığını da kontrol edin.

3. WordPress kullanıyorsanız yalnızca eklentilere odaklanmayın

WordPress’in, temaların ve eklentilerin güncel olması elbette önemli. Ancak PHP’nin kendisi de ayrı bir bileşen.

Yani bütün eklentileriniz güncel olsa bile sunucunuzdaki PHP sürümü savunmasızsa risk devam edebilir. WordPress’in yayımladığı kritik PHP güvenlik güncellemesi duyurusu da bu ayrımı özellikle vurguluyor.

4. Hosting şirketinize sorun

Sunucuyu kendiniz yönetmiyorsanız her teknik ayrıntıyı bilmek zorunda değilsiniz. Ancak hizmet aldığınız ekipten doğru bilgiyi istemek sizin sorumluluğunuzda.

Şu üç soruyla başlayabilirsiniz:

• Sunucumuzda hangi PHP sürümü çalışıyor?
• Bu güvenlik açıklarına yönelik güncellemeler uygulandı mı?
• Güncelleme sonrası güvenlik kontrolleri yapıldı mı?

Bunlar gayet makul sorular. Teknik ekibinizin de net yanıt verebilmesi gerekir.

5. Saldırı belirtisi varsa yalnızca güncellemekle yetinmeyin

Güncelleme yapmak, daha önce bir saldırı gerçekleşmediğini kanıtlamaz.

Beklenmeyen dosya değişiklikleri, olağandışı sunucu işlemleri veya şüpheli erişim kayıtları varsa bunların incelenmesi gerekir. Saldırı şüphesi durumunda güvenlik ekibinden destek alın ve olay müdahalesi sürecini başlatın.

Güncelleme hemen yapılamıyorsa, internete açık savunmasız sistemlerin geçici olarak izole edilmesi de değerlendirilmeli. WAF gibi ek güvenlik katmanları yardımcı olabilir; ancak PHP ekibi bu açıklar için güncellemenin yerini tutacak eksiksiz bir alternatif önlem bulunmadığını belirtiyor.

Bir de işin proje yönetimi tarafı var

Dijital projelerde genellikle tasarım, içerik, SEO, performans, analitik ve kullanıcı deneyimi gibi başlıklara odaklanıyoruz. Güvenlik ise çoğu zaman teknik ekibin takip ettiği, diğer ekiplerin pek görmediği bir konu olarak kalıyor.

Oysa bir web sitesini canlıya almak, işin bittiği anlamına gelmiyor. Yazılım güncellemeleri, sunucu bakımı, yedekleme ve güvenlik kontrolleri de projenin devam eden parçaları.

Özellikle ajanslarla veya dış kaynak ekiplerle çalışan işletmelerin şu sorulara önceden yanıt bulması gerekiyor:

• Güvenlik güncellemelerini kim takip ediyor?
• Hosting ve yazılım bakımından kim sorumlu?
• Kritik bir açık duyurulduğunda kimin harekete geçmesi gerekiyor?
• Güncelleme sırasında sorun yaşanırsa geri dönüş planı var mı?

Bunlar kriz çıktığında düşünülmesi gereken sorular değil. Projenin en başında netleştirilmesi gereken sorumluluklar.

Panik değil, kontrol zamanı

PHP’de ortaya çıkan bu kritik açıklar, dijital dünyada gözden kaçırabildiğimiz bir gerçeği hatırlatıyor: Bir web sitesinin sorunsuz çalışması, güvenli olduğu anlamına gelmiyor.

İyi haber şu ki güvenlik açıkları için düzeltmeler yayımlandı. Şimdi önemli olan, etkilenen sistemleri belirlemek ve güncellemeleri geciktirmemek.

Web sitenizin altyapısını kontrol edin, teknik ekibinizle konuşun ve güncelleme sürecinin tamamlandığından emin olun.

Çünkü siber güvenlik, yalnızca bir saldırı yaşandığında gündeme alınacak bir konu değil. Dijital dünyada iş yapıyorsak, düzenli olarak ilgilenmemiz gereken işlerden biri.

Siz en son ne zaman web sitenizin PHP sürümünü kontrol ettiniz?