PHP’de Kritik Güvenlik Açığı. Web Siteleri ve Sunucular Risk Altında mı?
21 Ekim 2026 tarihinde PHP geliştiricileri, uzaktan kod çalıştırılmasına imkân verebilen iki kritik güvenlik açığı için acil güncellemeler yayımladı. PHP kullanan web siteleri, içerik yönetim sistemleri ve sunucu yöneticileri için bu güncellemelerin geciktirilmemesi gerekiyor.
İnternette ziyaret ettiğimiz milyonlarca web sitesinin arka planında PHP çalışıyor. WordPress, WooCommerce, Joomla, Drupal ve çok sayıda özel yazılım, sunucu tarafındaki işlemlerini PHP aracılığıyla gerçekleştiriyor.
Normal şartlarda ziyaretçi yalnızca web sitesinin kendisine gösterdiği sayfalarla etkileşime giriyor. PHP ise arka planda veritabanı sorgularını, kullanıcı oturumlarını, dosya yüklemelerini ve diğer işlemleri yönetiyor.
Peki, bu işlemleri gerçekleştiren PHP’nin kendisinde bir güvenlik açığı bulunursa ne olur?
Ekim 2026’da açıklanan güvenlik açıkları tam olarak bu soruyu yeniden gündeme getirdi.
PHP’de hangi güvenlik açıkları tespit edildi?
PHP güvenlik ekibi, 20 Ekim 2026 tarihinde iki kritik güvenlik açığı için güncelleme hazırlanmakta olduğunu duyurdu. Ertesi gün yayımlanan yeni PHP sürümleriyle açıklar giderildi.
Söz konusu güvenlik açıkları CVE-2026-109618 ve CVE-2026-109619 olarak kayıt altına alındı.
Her iki açık da CVSS 4.0 değerlendirmesinde 9,2 puan aldı. Bu değer, güvenlik açıklarının kritik seviyede olduğunu gösteriyor.
En dikkat çekici nokta ise açıkların uygun koşullarda kullanıcı girişi gerektirmeden uzaktan kod çalıştırılmasına imkân verebilmesi.
Başka bir ifadeyle saldırganın mutlaka WordPress yönetici hesabına veya sunucu kontrol paneline erişmesi gerekmeyebilir.
CVE-2026-109618
Bu güvenlik açığı, PHP’nin bellek sınırına ulaşan işlemleri sonlandırırken gerçekleştirdiği bellek yönetimiyle ilgili.
PHP, belirlenen bellek sınırını aşan bir işlemi durdurduğunda bazı verilerin temizlenmesi gerekiyor. Ancak belirli koşullarda henüz tam olarak hazırlanmamış bellek alanlarının işlenmesi, bellek bozulmasına yol açabiliyor.
Bu durum uygun koşullarda saldırgan tarafından istismar edilerek sunucuda yetkisiz kod çalıştırılmasına neden olabiliyor.
CVE-2026-109619
İkinci güvenlik açığı ise PHP’nin istekler arasında tuttuğu dahili durum bilgileriyle ilgili.
Normal şartlarda bir web isteğine ait verilerin, işlem tamamlandığında güvenli şekilde temizlenmesi gerekiyor.
Ancak belirli hata durumlarında eski bir isteğe ait dahili durumun sonraki işlemleri etkilemesi mümkün olabiliyor.
Bu açık da uygun koşullarda uzaktan kod çalıştırılması riskini ortaya çıkarıyor.
WordPress siteleri bu açıklardan etkileniyor mu?
WordPress PHP ile geliştirildiği için PHP çalışma ortamındaki güvenlik açıkları WordPress sitelerini de ilgilendiriyor.
Ancak burada önemli bir ayrım bulunuyor.
Bu açıklar doğrudan WordPress’in kendi kodunda tespit edilmiş güvenlik sorunları değil. WordPress’in üzerinde çalıştığı PHP altyapısını etkiliyor.
Dolayısıyla WordPress’in, temaların ve eklentilerin güncel olması tek başına yeterli değil.
Sunucuda güvenlik açığından etkilenen bir PHP sürümü kullanılıyorsa risk devam edebilir.
Aynı durum WooCommerce mağazaları, PHP ile geliştirilmiş kurumsal web siteleri ve özel yönetim panelleri için de geçerli.
Hangi PHP sürümleri güncellenmeli?
21 Ekim 2026 tarihinde yayımlanan güvenlik güncellemeleriyle iki kritik açık için düzeltmeler sağlandı.
| PHP serisi | Güvenlik düzeltmesini içeren sürüm |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Bu sürümlerden daha eski sürümleri kullanan sistemlerin güncelleme durumlarının kontrol edilmesi gerekiyor.
PHP 8.1 ve daha eski sürümler, PHP projesinin resmî destek süresini tamamlamış durumda. Bazı Linux dağıtımları ve ticari destek sağlayıcıları eski sürümlere güvenlik yamalarını geriye dönük uygulayabiliyor. Bu nedenle yalnızca görünen sürüm numarasına değil, kullanılan paketin güvenlik güncelleme geçmişine de bakılmalı.
PHP 8.2’nin resmî güvenlik desteği de 31 Aralık 2026 tarihinde sona erecek.
Üçüncü bir güvenlik açığı daha duyuruldu
23 Ekim 2026 tarihinde CVE-2026-115560 numaralı başka bir PHP güvenlik açığı duyuruldu.
Bu açık da uzaktan kod çalıştırma riskiyle ilişkilendiriliyor ancak önceki iki açıktan farklı olarak oldukça özel bir oturum yapılandırmasını gerektiriyor.
Riskin ortaya çıkabilmesi için uygulamanın belirli oturum serileştirme ayarlarını kullanması, bu ayarları çalışma sırasında değiştirmesi ve oturum dosya yükleme ilerleme özelliğinin etkin olması gerekiyor.
PHP ekibi bu açığın daha sınırlı bir kullanım senaryosunu etkilediğini belirtiyor.
Etkilenen uygulamalarda geçici önlemler değerlendirilmeli ve sonraki güvenlik güncellemesi takip edilmeli.
PHP-FPM, Apache ve LiteSpeed kullanan sunucular etkileniyor mu?
Güvenlik açıkları yalnızca belirli bir web sunucusuyla sınırlı değil.
PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed gibi farklı çalışma ortamları etkilenebiliyor.
PHP güvenlik ekibi, özellikle Apache mod_php yapılandırmalarında riskin daha yüksek olduğunu belirtiyor.
Bu nedenle sunucunun Apache, LiteSpeed veya başka bir web sunucusu kullanıyor olması tek başına güvenli olduğu anlamına gelmiyor.
Önemli olan PHP’nin hangi sürümünün çalıştığı, güvenlik düzeltmelerinin uygulanıp uygulanmadığı ve kullanılan yapılandırma.
cPanel ve WHM kullanıcıları ne yapmalı?
cPanel ve WHM kullanılan sunucularda birden fazla PHP sürümü aynı anda kurulu olabiliyor.
Örneğin bir web sitesi PHP 8.2 kullanırken başka bir site PHP 8.3 veya 8.4 üzerinde çalışabiliyor.
Bu nedenle yalnızca sunucunun varsayılan PHP sürümünü kontrol etmek yeterli değil.
WHM üzerinde EasyApache 4 aracılığıyla yüklü PHP paketleri ve güncellemeleri incelenebilir.
MultiPHP Manager bölümünden ise hangi alan adının hangi PHP sürümünü kullandığı görülebilir.
Güvenlik güncellemesi uygulanmadan önce web sitelerinin yedeklerinin alınması, kullanılan eklentilerin ve özel yazılımların uyumluluğunun kontrol edilmesi gerekiyor.
Özellikle eski WordPress temaları, WooCommerce eklentileri ve özel PHP yazılımları daha yeni PHP serilerine geçildiğinde uyumluluk sorunları yaşayabiliyor.
Bu nedenle güvenlik güncellemesi ile büyük sürüm yükseltmesi birbirine karıştırılmamalı.
Cloudflare veya Wordfence bu açıklara karşı koruma sağlar mı?
Cloudflare, Wordfence ve benzeri güvenlik çözümleri web sitelerinin korunmasında önemli rol oynuyor.
Web uygulama güvenlik duvarları, zararlı isteklerin engellenmesi, bot trafiğinin filtrelenmesi ve bilinen saldırı kalıplarının tespit edilmesi gibi alanlarda fayda sağlayabiliyor.
Ancak PHP’nin kendi çalışma ortamında bulunan bir güvenlik açığını ortadan kaldırmıyorlar.
Özellikle uygulama kodu çalıştırılmadan önce tetiklenebilen güvenlik açıklarında yalnızca WordPress seviyesinde çalışan bir güvenlik eklentisine güvenmek yeterli olmayabilir.
WAF çözümleri ek bir güvenlik katmanı olarak kullanılmalı. PHP güvenlik yamalarının yerine geçmemeli.
PHP sürümünü nasıl öğrenebilirsiniz?
WordPress kullananlar, yönetim panelindeki Araçlar bölümünden Site Sağlığı ekranına ulaşabilir.
Buradaki Bilgi sekmesinde sunucu başlığı altında PHP sürümü görüntülenebilir.
cPanel kullananlar ise hosting sağlayıcısının sunduğu PHP yönetim araçlarından etkin sürümü kontrol edebilir.
Ancak görüntülenen sürüm numarası, özellikle geriye dönük güvenlik yamaları kullanan sunucularda tek başına yeterli olmayabilir.
Güvenlik güncellemesinin gerçekten uygulanıp uygulanmadığı hosting sağlayıcısından doğrulanmalıdır.
PHP güncellemelerini ertelemek neden riskli?
Web sitesi düzgün çalıştığında arka plandaki PHP sürümü çoğu zaman fark edilmiyor.
Sayfalar açılıyor, formlar çalışıyor, siparişler geliyor ve yönetim paneline erişilebiliyor.
Ancak bir yazılımın sorunsuz çalışması, güvenli olduğu anlamına gelmiyor.
Kritik bir güvenlik açığı kamuoyuna açıklandıktan sonra saldırganların bu açığı araştırması ve istismar yöntemleri geliştirmesi mümkün.
Bu nedenle PHP güvenlik güncellemeleri yalnızca performans veya yeni özellik kazanmak için yapılan sıradan yazılım yükseltmeleri olarak değerlendirilmemeli.
Özellikle müşteri bilgileri, sipariş kayıtları ve kurumsal veriler barındıran web sitelerinde sunucu yazılımlarının güncel tutulması temel güvenlik gereksinimlerinden biri.
PHP’nin 21 Ekim 2026 tarihinde yayımladığı güncellemeler de bunun önemli bir örneği.
Bir web sitesinin güvenliği yalnızca görünen sayfalardan, kullanılan temadan veya WordPress eklentilerinden ibaret değil. Asıl dikkat edilmesi gereken bileşenlerden biri de bütün bu işlemleri arka planda gerçekleştiren yazılım altyapısı.
Kaynaklar
- PHP Resmî Güvenlik Duyuruları — https://www.php.net/archive/2026.php
- CERT-EU Security Advisory 2026-018 — https://cert.europa.eu/publications/security-advisories/2026-018
- NHS England Critical Vulnerabilities in PHP — https://digital.nhs.uk/cyber-alerts/2026/cc-4875
