İnternet sitelerinin çalışmasını sağlayan yazılımlardan PHP’de iki kritik güvenlik açığı tespit edildi. Siber Güvenlik Başkanlığı, 21 Ekim tarihli bildiriminde kurum ve kuruluşları gerekli önlemleri almaya çağırdı.
Başkanlığın bildiriminde resmi duyurunun beklendiği belirtilirken, PHP ekibi güvenlik açıklamasını ve açıkları gideren sürümleri yayımladı. Kullanıcılardan güncellemeleri gecikmeden uygulamaları istendi.
Güvenlik açığı ne anlama geliyor?
PHP, bir internet sitesinde haberlerin görüntülenmesi, formların işlenmesi ve kullanıcı işlemlerinin yürütülmesi gibi görevlerde kullanılan bir programlama dili.
“php2shell” olarak adlandırılan açıklar, belirli koşullarda saldırganların kullanıcı adı ve şifre girmeden sitenin çalıştığı sunucuda kendi komutlarını çalıştırmasına olanak tanıyabiliyor. Başka bir ifadeyle, saldırganın uzaktan sisteme izinsiz talimat vermesi mümkün olabiliyor. Açıklar, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kayda geçti.
Başarılı bir saldırı sonucunda, uygulamanın erişim yetkileri ölçüsünde verilerin ele geçirilmesi, içeriklerin değiştirilmesi veya hizmetlerin kesintiye uğraması riski bulunuyor.
Site sahipleri ne yapmalı?
İnternet sitesi bulunan işletmelerin ve kurumların, yazılım ekipleriyle veya sitelerini barındıran hizmet sağlayıcılarıyla iletişime geçerek kullanılan PHP sürümünü kontrol ettirmesi gerekiyor.
PHP ekibi, açıkların 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerinde giderildiğini duyurdu. Sunucunun kullandığı yazılım sağlayıcısının sunduğu güvenlik yamalarının da kontrol edilmesi öneriliyor.
Siber Güvenlik Başkanlığı ayrıca yönetim panellerine ve kritik servislere erişimin yalnızca yetkili adreslerle sınırlandırılmasını istedi. Yurt dışından erişilmesi gerekmeyen sistemlerin uluslararası trafiğe kapatılması da önerilen tedbirler arasında yer aldı.
Ancak erişimi sınırlandırmak tek başına yeterli koruma sağlamıyor. PHP ekibi, açıkların tamamen giderilmesi için güvenlik güncellemesinin uygulanması gerektiğini vurguluyor.
İnternet kullanıcıları açısından ne ifade ediyor?
Güncelleme işlemi, sitelerin çalıştığı sunucularda yapılacak. Bu nedenle öncelikli sorumluluk site sahiplerinde, sistem yöneticilerinde ve barındırma hizmeti veren şirketlerde bulunuyor. Bildirim, tek başına bir sitenin saldırıya uğradığı veya kullanıcı bilgilerinin çalındığı anlamına gelmiyor.
