Kritik bir PHP açığı kamuoyuna duyuruldu, kötüye kullanım endişeleri hızla yayıldı ve birçok kurum hemen önlem aldı. İşletme sahipleri için bu kafa karıştırıcı bir durum; çünkü PHP, sayısız web sitesinin, online mağazanın ve WordPress kurulumunun arka planında sessizce çalışıyor.
PHP açığı tam olarak nedir?
Söz konusu olan, geliştiricilere göre kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmak (unauthenticated remote code execution) için kullanılabilecek iki kritik PHP güvenlik açığı. Basitçe söylemek gerekirse: bir saldırgan, geçerli bir hesabı olmadan, açığı bulunan bir sunucuda zararlı kod çalıştırabilir. Bu da bu tür açıkları özellikle ciddi kılar.
PHP'nin resmî güvenlik duyurusuna göre 21 Ekim 2026'da PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri için güvenlik güncellemeleri yayımlandı. Geliştiriciler bu konuda da net: tam bir geçici çözüm yok, gerçekten güvenli tek seçenek güncellemek. Ayrıntılar için PHP'nin resmî güvenlik duyurusunu okuyabilirsiniz.
Bu açık neden bu kadar endişe yarattı?
Etki özellikle üç şeyin aynı anda yaşanmasından kaynaklandı. Birincisi, PHP web'in çok büyük bir bölümünde çalışıyor. İkincisi, açık resmî yama yayımlanmadan önce geniş çapta gündeme geldi. Üçüncüsü, olası etki o kadar büyüktü ki bazı kurumlar risk almak istemedi ve sistemlerini geçici olarak ek önlemlerle korudu, hatta erişime kapattı.
Bu nedenle kısa sürede internette çok fazla bilgi kirliliği oluştu. Geçici çözümler, birbirinden bağımsız tavsiyeler ve teknik tartışmalar dolaştı. Ancak özü hep aynı kaldı: sunucunuz açığı bulunan bir PHP sürümünde çalışıyorsa, yamanın mümkün olan en kısa sürede kurulması gerekiyordu.
Hangi siteler risk altında?
PHP'nin açıklamasına göre risk, web trafiğini işleyen PHP kurulumlarıyla ilgili: PHP-FPM, mod_php ile Apache, php-cgi, FrankenPHP ve LiteSpeed bunların arasında. Yani yalnızca özel yazılmış uygulamalar değil, WordPress ve WooCommerce gibi PHP üzerinde çalışan birçok bilinen sistem de kapsamda.
Şunu anlamak önemli: sorun WordPress'te ya da bir eklentide değil, altta yatan PHP katmanında. Bu nedenle bir site ön yüzde tamamen normal görünürken, arka planda sunucu yine de savunmasız olabilir. Teknik bakımın bu kadar önemli olmasının nedeni de tam olarak budur.
Şu ana kadar neler çözüldü?
İyi haber şu: PHP güvenlik güncellemelerini yayımladı. Bu sayede mesele artık beklemek değil, doğru şekilde yama yapmak ve kontrol etmek. Yani bir ortam “bir şeyler yapıldı” diye güvende sayılmaz; ancak güncellenmiş doğru PHP sürümü gerçekten çalışıyorsa güvendedir.
Bu tür olaylarda hız çok önemlidir: önce erişimi kısıtlamak, sonra yamayı kurmak ve ardından her şeyin kararlı çalıştığını kontrol etmek. Kantex olarak bu süreci nasıl ele aldığımızı PHP açığına karşı sitenizi nasıl koruyoruz yazımızda anlatıyoruz.
Saldırganların, açığı bulunan bir sunucuda hesap olmadan kod çalıştırmasına olanak tanıyabilecek iki kritik PHP güvenlik açığıdır. Bu nedenle çok ciddi bir açık olarak değerlendirildi.
Evet, PHP 21 Ekim 2026'da desteklenen sürümler için güvenlik güncellemeleri yayımladı. Ancak bu, açığın her yerde kendiliğinden kapandığı anlamına gelmez; güncellemenin sunucunuza gerçekten kurulmuş olması gerekir.
Olabilir, çünkü WordPress genellikle PHP üzerinde çalışır. Sorun WordPress'in kendisinde değil, sunucunun PHP katmanındadır. Bu katman yamalanmadıysa siteniz yine de risk altında olabilir.
Hayır, PHP geliştiricilerine göre eksiksiz bir geçici çözüm yok. Geçici önlemler riski azaltabilir, ancak gerçek koruma yalnızca güvenli bir sürüme güncellemekle sağlanır.
Sitenizin hangi PHP sürümünde çalıştığını ve 21 Ekim 2026 tarihli güvenlik güncellemesinin uygulanıp uygulanmadığını hemen sorun. Emin değilseniz, barındırma firmanıza veya sitenizin bakımını yapan ekibe bunu hemen kontrol ettirin.
