Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, PHP programlama dilini etkileyen iki kritik güvenlik açığı için TR-26-1372 kodlu bildirim yayımladı. Güvenlik araştırmacılarının “PHP2Shell” adını verdiği açıklar, belirli koşullarda saldırganların kimlik doğrulaması olmadan uzaktan kod çalıştırmasına imkân tanıyabiliyor. PHP ekibinin güvenlik güncellemelerini yayımlamasının ardından kurum ve kuruluşlara sistemlerini gecikmeden güncelleme çağrısı yapıldı. [1] [2]
TR-26-1372 kodlu güvenlik bildirimi yayımlandı
Siber Güvenlik Başkanlığının 21 Ekim 2026 tarihli bildiriminde, PHP’yi etkileyen iki kritik açığın uzaktan kod çalıştırma (RCE) riskine yol açabileceği belirtildi. Açıklar CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip ediliyor. Başarılı istismar halinde saldırganın, etkilenen PHP uygulamasının sahip olduğu yetkiler ölçüsünde sistem kaynaklarına erişebileceği ve kod çalıştırabileceği bildirildi.[1]
Uyarı, PHP kullanan bütün sitelerin saldırıya uğradığı anlamına gelmiyor. Ancak PHP ile web isteği sunan sistemlerin risk kapsamında olduğu belirtiliyor. Bu nedenle internetten erişilebilen sunucuların ve PHP içeren üçüncü taraf ürünlerin kontrol edilmesi önem taşıyor.
Hangi PHP kurulumları risk altında?
PHP ekibinin duyurusuna göre web isteği sunan PHP kurulumları
arasında PHP-FPM, Apache mod_php,
php-cgi, FrankenPHP ve LiteSpeed bulunuyor.
PHP ekibi, uygulama kodu devreye girmeden önce tetiklenebilen bir
istismar gösterildiği için özellikle Apache
mod_php kullanan sistemlerde riskin daha yüksek
olduğuna dikkat çekti.[2]
Risk değerlendirmesi yalnızca doğrudan web sunucularıyla sınırlı tutulmamalı. PHP’yi içinde barındıran konteynerler, ağ cihazları, yönetim panelleri ve üçüncü taraf yazılımlar da sistem envanterinde incelenmeli. Güncelleme süreci, kullanılan PHP’nin doğrudan mı yoksa bir dağıtım veya ürün sağlayıcısının paketi üzerinden mi sunulduğu belirlenerek yürütülmeli.
İki kritik açığın teknik etkisi
CVE-2026-109618, bellek yetersizliği yaşandığında PHP’nin istek temizleme sırasında kısmen hazırlanmış dahili verileri geçerli kabul edebilmesiyle ilişkilendiriliyor. CVE-2026-109619 ise bir isteğe ait dahili durum bilgilerinin bellek serbest bırakıldıktan sonra kalması ve aynı çalışan süreçteki sonraki bir istekte yeniden kullanılmasıyla bağlantılı. PHP ekibi, iki açığın da kimlik doğrulaması olmadan uzaktan kod çalıştırma riski taşıdığını bildirdi.[2]
PHP güvenlik ekibi, iki açığı da CVSS 4.0 ölçeğinde 9,2 kritik önem puanıyla değerlendirdi. Güvenlik sürümleri 21 Ekim’de yayımlandı. PHP ekibi, ayrıntıların kamuya sızması üzerine planlanan açıklama takvimini öne çekti.[2]
Güvenli PHP sürümleri açıklandı
PHP ekibi açıkları gidermek için şu güvenlik sürümlerini yayımladı:
- PHP 8.5 kullanıcıları için 8.5.12
- PHP 8.4 kullanıcıları için 8.4.27
- PHP 8.3 kullanıcıları için 8.3.36
- PHP 8.2 kullanıcıları için 8.2.35
PHP 8.1 ve daha eski sürümler, PHP projesinden doğrudan güvenlik güncellemesi almıyor. Bazı Linux dağıtımları ve uzun süreli destek sağlayıcıları bu sürümlere yamaları geriye taşıyabiliyor. Bu nedenle eski sürüm kullanan kurumların dağıtım veya ürün sağlayıcısının duyurularını kontrol etmesi ya da desteklenen bir sürüme geçmesi gerekiyor. PHP 8.2.35 mevcut açıkları kapatıyor; ancak PHP 8.2 desteği 31 Aralık 2026’da sona erecek. [2]
Siber Güvenlik Başkanlığından üç önlem çağrısı
TR-26-1372 kodlu bildirimde kurum ve kuruluşlardan öncelikle PHP tabanlı uygulamalarını ve etkilenen sistemlerini belirlemeleri, üreticinin yayımladığı güvenli sürümlere gecikmeden geçmeleri istendi. Yönetim arayüzleri ve kritik PHP servislerine dış erişimin güvenlik duvarı kurallarıyla yalnızca güvenilir ve yetkili IP adreslerine sınırlandırılması da önerildi. [1]
Yurt dışından erişim ihtiyacı bulunmayan sistemlerin uluslararası trafiğe kapatılması, bildiride yer alan diğer tedbir oldu. Erişim kısıtlamaları maruziyeti azaltabilir; ancak PHP ekibi geçici önlemlerin güvenlik güncellemesinin yerini tutmadığını ve sistemi tamamen güvenli hâle getirmediğini vurguluyor. [1] [2]
Güncelleme sonrasında da kontrol gerekli
Sistem yöneticilerinin yalnızca sunucuda görünen PHP sürümünü değil, web trafiğini karşılayan çalışma ortamını da kontrol etmesi gerekiyor. PHP-FPM süreçleri, Apache modülleri, konteyner imajları ve PHP içeren üçüncü taraf ürünler ayrı ayrı incelenmeli. Güncellemenin ardından ilgili PHP çalışan süreçlerinin yeniden başlatılması ve trafiğin yamalı sürüm üzerinden sunulduğunun doğrulanması önem taşıyor.
Kanada Siber Güvenlik Merkezi, 21 Ekim tarihli uyarısında açık kaynaklarda kavram kanıtı kodu bulunduğuna ilişkin raporlardan söz etti; aynı tarih itibarıyla aktif istismar tespit etmediğini bildirdi. Merkez, bu durumun hızla değişebileceği uyarısında da bulundu.[3]
PHP2Shell uyarısı neden önemli?
PHP2Shell, yaygın kullanılan bir sunucu teknolojisindeki iki bellek güvenliği açığının web hizmetleri açısından doğurabileceği riski ortaya koydu. Başarılı bir istismar, saldırgana PHP uygulamasının yetkileri ölçüsünde kod çalıştırma ve sistem kaynaklarına erişme olanağı verebilir. Bu nedenle kurumların PHP kullanan bütün bileşenleri belirlemesi, üretici veya dağıtım sağlayıcısının güvenlik yamasını uygulaması ve dış erişimleri gözden geçirmesi gerekiyor.
Türkiye’de yayımlanan TR-26-1372 bildirimi de güncelleme, güvenlik duvarı üzerinden erişim kısıtlaması ve ihtiyaç duyulmayan uluslararası trafiğin kapatılması çağrısı yaptı. Kalıcı çözüm, etkilenen PHP kurulumlarını güvenli sürümlere yükseltmek.