Avrupa'nın siber acil müdahale ekibi, iki kritik PHP açığını kapatamayan sitelere çevrimdışına geçmelerini tavsiye ediyor. Çünkü bu açıklar, saldırganlara oturum açma gerektirmeden web sunucularının kontrolünü ele geçirme imkanı tanıyor.
PHP, WordPress blog’lardan Magento e-ticaret sitelerine kadar web’in büyük bir kısmının altyapısında çalışmaya devam ediyor. Ancak iki açığın detayları, yamalar hazır olmadan önce internette sızdırıldı.
Saldırganlar Erken Davrandı
Sızıntı, planlanan açıklamadan önce 20 ekim’de ortaya çıktı; Huntress bu gelişmeyi paylaştı. Bunun üzerine PHP Foundation’ın güvenlik ekibi, yamaları 21 ekim saat 14:00 UTC’de yayınlanmak üzere ajandasına aldı.
The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2.
— The PHP Foundation (@ThePHPF) October 20, 2026
PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.
Huntress’a göre, güvenlik şirketi watchTowr şu ana kadar iki hatadan birini tekrar üretti. Huntress ise kendi müşterilerinin sistemlerinde şu ana kadar bir istismar görmediğini belirtti.
Buna karşılık Cloudflare’ın baş teknoloji sorumlusu Dane Knecht, saldırıların aslında başladığını söyledi. Şirketi, bilinen saldırı yollarına karşı tüm müşterileri için, ücretsiz kullanıcılar dahil, güvenlik duvarı kurallarını devreye aldı.
Knecht, ‘Erken saldırı denemelerine şahit oluyoruz ve yeni tehdit yolları ortaya çıktıkça önlemlerimizi güncelliyoruz. Ancak bu sadece GEÇİCİ bir çözüm’ dedi.
Knecht, bu uyarıyı X’teki paylaşımında dile getirdi.
Avrupa Birliği Bilgisayar Acil Müdahale Ekibi (CERT-EU) ve Avustralya’nın siber güvenlik ajansı, Reuters’ın aktardığına göre, PHP’deki bu açıkların PHP 5’ten itibaren tüm sürümleri etkileyebileceği konusunda ortak bir uyarı yayımladı.
Huntress’ın aktardığına göre, bazı araştırmacılar sadece PHP 8’in desteklenen sürümleri için yama çıkmasını bekliyor. Böylece eski ve desteklenmeyen sürümlerde çalışan siteler, yama gelmeden risk altında kalabilir.
Bu uyarı, 100’den fazla şirketin önümüzdeki aylarda yapay zeka destekli siber saldırıların artacağına dair yakın tarihli bir uyarı sonrası geldi.
Bu PHP Açıkları Web Sitesi Sahipleri İçin Ne Anlama Geliyor?
W3Techs’in verilerine göre, sunucu tarafında dil bilgisi tespit edilen web sitelerinin yaklaşık %69’unda PHP kullanılıyor. Sadece WordPress bile tüm web sitelerinin yaklaşık %40’ını çalıştırıyor.
CERT-EU, açıklardaki 9,2’lik tehdit puanının, kimlik doğrulama olmadan uzaktan kod çalıştırma riskine işaret ettiğini belirtiyor. Kısacası: Sunucuda hiçbir giriş bilgisi olmadan zararlı kod çalıştırılabiliyor.
Web barındırma şirketi GoDaddy, saldırganların veri çalabileceğini, siteleri tahrif edebileceğini veya tüm sistemi ele geçirebileceğini söyledi. Çalınan bilgiler gerçekten büyük bir değere sahip: Güney Koreli banka saldırıları bunun net bir örneği oldu.
Güvenlik eklentisi Wordfence, her WordPress sitesinin PHP sunucusu üzerinde çalıştığını belirtti. Yine de WordPress’in otomatik güncellemeleri, PHP açıklarını kapatmıyor. Bu yüzden site sahiplerinin PHP altyapılarını kimin yönettiğini mutlaka sorgulaması gerekiyor.
Ekim ayında yaşanan Fransa’daki süpermarket dolaplarının hacklenmesi olayı gibi örneklerde gördüğümüz gibi, günlük altyapılara saldırılar hızla yaygınlaşıyor. Şimdi ise bu PHP açıkları, web’in büyük kısmının yazılım katmanını tehdit ediyor. Sunucu güncellemelerini atlamak ise davetiyeyle kapı aralamak gibi: Dikkatli olmayan bir site sahibi her an hedef olabilir.
Orijinal AB’den Bazı Siteler İçin Uyarı: Kapatma Talebi Geliyor hikayesini Phil Haunhorst tarafından tr.beincrypto.com ’da okuyun