PHP krizi dünyayı ayağa kaldırdı! Web sitesi olanlar ne yapmalı?

PHP kriziyle ilgili merak edilenler… PHP krizi dünyayı ayağa kaldırdı! Web sitesi olanlar ne yapmalı?

Dünya genelinde milyonlarca internet sitesi ve kurumsal uygulamanın temelini oluşturan PHP altyapısında şifresiz erişim riski barındıran güvenlik açığı tespit edildi. Birçok ülkeyi alarma geçiren ve Türkiye’de de kurumların güvenlik güncellemelerine odaklandığı küresel siber krize ilişkin merak edilenler haberimizde.

İnternet siteleri ve kurumsal uygulamalarda sıkça kullanılan PHP programlama dilinde saptanan iki kritik güvenlik açığına karşı dünya genelinde yeni tedbirler devreye alınırken kurum ve kuruluşlar açıkların giderilmesi için güncellemelere odaklandı.

PHP yazılım altyapısı, çevrim içi uygulamalarda yaygın olarak kullanılıyor.

Son olarak bu dili etkileyen iki kritik güvenlik zafiyeti tespit edildi. Bu zafiyetlerin belirli koşullarda kötü niyetli kişilerin kullanıcı adı veya şifre gerekmeden savunmasız sistemlere müdahale edebilmesine imkân tanıdığı belirlendi.

Birçok ülkenin, söz konusu altyapıyı kullanan kurum ve işletmeleri uyarması dünya genelinde güvenlik arayışını beraberinde getirdi. Sistem güncelleme çalışmalarıyla muhtemel risklerin ortadan kaldırılması hedefleniyor.

Gelişmeler, PHP güvenlik açığının ne olduğu, bunun ne gibi sonuçlar doğuracağı ve altyapıyı kullanan kurum ve işletmelerin sistemlerini nasıl koruyabileceği sorularını gündeme taşıdı. İnternet ve çevrim içi uygulamaları kullananlar da risklere karşı tedbirlere yöneldi.

Konuya ilişkin merak edilen 5 soru ve cevapları şöyle:

1- PHP nedir?

PHP, dünya genelinde çok sayıda internet sitesi ve kurumsal uygulamanın temelinde kullanılan bir programlama dilidir.

2- PHP’de güvenlik açığı ne anlama geliyor?

Bu tür sistemlerde yazılımın kod yapısında hatalar olması, bellek yönetimi sorunları, güvenlik kontrollerindeki eksiklikler ve güncellemelerin zamanında uygulanmaması kritik güvenlik açıklarına yol açabiliyor.

Son olarak, PHP programlama dilini etkileyen iki kritik güvenlik zafiyetinin bulunduğu ve söz konusu zafiyetlerin uzaktan kod çalıştırılmasına olanak tanıyabileceği belirlendi.

“PHP2Shell” olarak adlandırılan bu açıklar, belirli koşullarda kötü niyetli kişilerin kullanıcı adı veya şifreye ihtiyaç duymadan savunmasız sistemlere müdahale edebilmesine imkân tanıdığı anlaşıldı.

3- Güvenlik açığına karşı ülkeler ne gibi önlemler aldı?

Uluslararası ölçekte güvenlik uyarılarının yayımlanmasıyla birçok ülke çeşitli tedbirlere odaklandı.

Bu kapsamda, ABD Federal Soruşturma Bürosu (FBI) ve ABD Ulusal Güvenlik Ajansı (NSA), iki kritik güvenlik açığının tespit edildiği konusunda uyarıda bulundu.

Hollanda, vatandaşlık hizmeti sunan siteleri erişime kapattı.

Fransa, valiliklerin internet siteleri için benzer kararları uygulamaya aldı.

Danimarka, Norveç ve Finlandiya sistem kullanıcılarına yönelik uyarılar yayımladı.

Japonya Başbakanı Takaiçi Sanae, PHP kullanan internet sitelerine açığı düzeltmeye yönelik güncelleme çağrısı yaptı.

Güney Kore, siber kriz uyarı seviyesini yükseltirken kamu kurumları ve şirketlerden sistemlerini güvenli hale getirmeleri ve açıkları gidermek için gerekli güncellemeleri yapmaları uyarısında bulundu.

4- Türkiye bu konuda hangi adımları attı?

Türkiye’de risklerin önlenmesi amacıyla Cumhurbaşkanlığı Siber Güvenlik Başkanlığı ilgili kurum ve kuruluşları bilgilendirdi. Kamu kurumları ve özel sektör kuruluşlarına PHP altyapılarını kontrol etmeleri, üretici tarafından yayımlanan güvenlik güncellemelerini uygulamaları ve güvenli sürümlere geçmeleri yönünde çağrıda bulunuldu.

Ulusal ölçekte güvenlik taramaları ve teknik takip çalışmaları sürüyor.

e-Devlet Kapısı’nda, PHP altyapısında tespit edilen kritik güvenlik açıklarına ilişkin gerçekleştirilen incelemelerde, hizmetlerin güvenliğini olumsuz etkileyen herhangi bir sorun tespit edilmedi.

5- Vatandaşlar için risk var mı, kurum ve işletmeler neler yapmalı?

Güvenlik açıkları, vatandaşların kişisel verilerinin bulunduğu internet siteleri ve çevrim içi hizmetler açısından risk oluştursa da bu durum kişisel verilerin ele geçirildiği anlamına gelmiyor.

Bilişim uzmanları, vatandaşların bu süreçte paniğe kapılmak yerine temel dijital güvenlik önlemlerini uygulamasının önem taşıdığını belirtiyor.

Kurum ve kuruluşlarının ise PHP tabanlı uygulamalarının güvenliğini sağlamaya yönelik adımlar atması önem taşıyor. PHP için resmi güvenlik güncellemesi yayımlandı. Kurumların etkilenen sistemlerini belirleyerek bunları güvenli sürümlere yükseltmeleri önem taşıyor.

Sistemlerin güvenliği için yalnızca güvenilir ve yetkili IP adreslerinin kullanılması gerekiyor.

Yurt dışı erişim ihtiyacı bulunmayan sistemlerin de uluslararası trafiğe kapatılmasına önem veriliyor.

İşletmelerin kendi sistemlerinde PHP kullanıp kullanmadığını ve hangi sürümün aktif olduğunu belirlemesinin önemine dikkati çekiliyor.

Web sitesi olanlar PHP güvenlik açıkları sorununun çözümü için ne yapmalı?

Web siteniz varsa ve PHP2Shell (CVE-2026-109618 ve CVE-2026-109619) olarak bilinen kritik açıklardan endişe ediyorsanız, atmanız gereken en kritik adım PHP çalışma zamanını (runtime) güncellemektir. Bu açıklar doğrudan PHP motorunda olduğu için WordPress temanızı, eklentinizi veya güvenlik yazılımınızı güncellemek sizi korumaz; çünkü bu araçlar devreye girmeden önce PHP isteği çoktan işlemiş olur .

🎯 Hangi Sürüme Güncellemelisiniz?

Aşağıdaki sürümlerdeki yamalar her iki açığı da kapatıyor. Sitenizin kullandığı dala göre en azından bu sürümlere (veya daha yenisine) yükseltme yapmalısınız :

Önemli Uyarı: PHP 8.1 ve daha eski sürümler için resmi bir yama bulunmuyor. Eğer siteniz hâlâ bu sürümlerden birini kullanıyorsa, en kısa sürede desteklenen bir sürüme (tercihen 8.3 veya üzeri) geçiş yapmalısınız .

🔍 Sitenizin Hangi PHP Sürümünü Kullandığını Nasıl Anlarsınız?

• WordPress kullanıyorsanız: Yönetim panelinden Araçlar → Site Sağlığı → Bilgi → Sunucu yolunu izleyerek PHP sürümünü görebilirsiniz. Burada yazan tam sürüm numarasına (örneğin 8.3.36) dikkat edin; sadece “8.3” yazması yeterli bilgi vermez .

• Hosting panelinizden: Sitenizin PHP ayarları bölümüne gidin ve tam sürüm numarasını kontrol edin. Panel sadece “PHP 8.3” gibi bir dal gösteriyorsa, hosting sağlayıcınızdan tam sürümü veya yama durumunu teyit etmeniz gerekir .

• Hosting sağlayıcınız yönetiyorsa: Onlardan sitenizin CVE-2026-109618 ve CVE-2026-109619 açıkları için yamalandığını ve çalışan PHP süreçlerinin (worker) yeniden başlatıldığını yazılı olarak teyit etmelerini isteyin .

🛡️ Hemen Güncelleyemiyorsanız Geçici Önlemler

Yama yapana kadar riski azaltmak için şunları uygulayabilirsiniz (bunlar kalıcı çözüm değildir) :

• Web Uygulama Güvenlik Duvarı (WAF): Cloudflare gibi servislerin bu açıklar için yayınladığı kuralları devreye alın.

• Dosya Yüklemeyi Kısıtlayın: Siteniz dosya yükleme kabul etmiyorsa, sunucu seviyesinde multipart/form-data isteklerini engelleyin ve PHP ayarlarından file_uploads ile session.upload_progress.enabled seçeneklerini kapatın.

• Oturum İlerleme Takibini Kapatın: php.ini dosyasında session.upload_progress.enabled = 0 ayarını yapın. Bu, açıklardan birinin tetiklenme yolunu daraltır .

📋 Özet Kontrol Listesi

1. Sitenizin (ve aynı sunucudaki diğer sitelerin) PHP sürümünü kontrol edin.

2. Sürüm güvenli listelenen sürümlerden düşükse, hosting sağlayıcınızla iletişime geçerek güncelleme talep edin veya kendiniz güncelleyin.

3. Güncelleme sonrası PHP servisinin yeniden başlatıldığından emin olun.

4. Güncelleyemiyorsanız yukarıdaki geçici önlemleri uygulayın ve en kısa sürede güncelleme planı yapın.

 

Kaynak : hobitat, trt haber