PHP Güvenlik Açığı, İnternetteki Yüzde 70 Web Sitesini Tehdit Ediyor

PHP programlama dilindeki iki kritik güvenlik açığı, dünya genelindeki web sitelerinin yaklaşık %70'inin güncelleme yapmasını zorunlu hale getiriyor. Bu açıklar, saldırganların etkilenen sunucular üzerinde tam kontrol sağlamasına olanak tanıyor.

Güvenlik uzmanları, bu açıkların zaten kötüye kullanıldığını ve çalışan istismarların mevcut olduğunu belirtiyor. PHP, Drupal, Magento, Joomla ve WordPress gibi birçok web yayınlama sisteminin temelini oluşturuyor. Bugün PHP, bu açıkları kapatmak için acil bir güvenlik güncellemesi yayımladı.

Güncelleme sonrası, Avrupa'daki bazı hükümet web sitelerinin çevrimdışı kaldığı bildirildi. Bulut hizmet sağlayıcısı Cloudflare, sabah erken saatlerde bu açıkların istismarına yönelik saldırı trafiğini engellemek için web uygulama güvenlik duvarı kuralları uygulamaya başladığını duyurdu. Bu açıklar, hizmet reddi durumu, uzaktan kod yürütme ve veri sızıntısına yol açabilir.

OpenAI, bu güvenlik açıklarının ciddiyetini vurgulayarak, "PHP'nin yaygın kullanımı nedeniyle bu durumu, son zamanlardaki en etkili güvenlik sorunlarından biri" olarak değerlendiriyor. Censys, PHP kullanan yaklaşık 2.58 milyon internet sunucusu ve 54.9 milyon web sitesinin tespit edildiğini açıkladı. Wiz güvenlik uzmanları, son on yılda yayımlanan tüm PHP sürümlerinin en az bir güvenlik açığından etkilendiğini belirtiyor.

Wiz araştırmacıları, bu açıkların tarihin en ciddi PHP güvenlik açıkları arasında yer aldığını ifade etti. Açıkların, uzun yıllar boyunca mevcut olmasına rağmen, istismar edilebilirliğinin gösterilmesinin karmaşık bir süreç gerektirdiği vurgulandı. PHP'deki bu güvenlik açıklarının, web tabanlı arka kapılar veya "web shell" gibi istismarlarla yaygın olarak kullanılmasının muhtemel olduğu öngörülüyor.

PHP'nin sıfırıncı gün güvenlik açıkları, CVE-2026-109618 ve CVE-2026-109619 numaralarıyla izleniyor ve PHP 5.4 veya daha yeni sürümleri kullanan tüm web sunucularını etkiliyor. Bu açıklar, PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde düzeltildi. Wiz, PHP'nin birçok web uygulamasına derinlemesine entegre olduğunu ve bu nedenle kuruluşların bu açıkları kapatmada zorluk yaşayabileceğini ifade etti.

Bu durum, 2021'de ortaya çıkan Log4Shell zayıflığıyla kıyaslanıyor. PHP'deki bir güvenlik açığı, tek bir uygulamanın ötesinde geniş bir etki alanına sahip. PHP, bulutlar, barındırma sağlayıcıları ve milyonlarca bağımsız sunucu üzerinde çalışıyor. Güvenlik açıklarının teknik detayları kamuya açıklanmadan önce, bu ekosistemdeki tüm paydaşlar arasında koordineli bir çalışma yapılması gerektiği vurgulandı.

SANS Internet Storm Center, bu PHP açıklarıyla ilgili güncellemeler yayımlayan büyük yazılım platformlarını takip ediyor. Örneğin, Ubuntu, güncellenmiş PHP paketlerini yayımladı. Bu konudaki daha derin teknik analizler için Calif'in yayınladığı çizgi roman tarzındaki yazıya göz atabilirsiniz.