Web sitelerinin önemli bir kısmının arkasında çalışan PHP için bir gün önce yayımlanan güvenlik güncellemesi, şimdiden yeni bir tartışmanın merkezinde. X’te rafalohaki kullanıcı adıyla paylaşım yapan bir güvenlik araştırmacısı, güncellenmiş PHP 8.5.12 sürümünü çalıştıran bir sunucuyu uzaktan ele geçirebildiğini öne sürdü. Araştırmacı iddiasını, internet üzerinden sunucuya komut gönderebildiğini gösteren kısa bir videoyla destekledi.
Working RCE against PHP 8.5.12 (the 2026-10-21 security release that fixed CVE-2026-109618/109619).
Pure logic bug — no memory corruption, ASAN-clean, orthogonal to the CVE-2026-109618/19 class.
Receipt: uid=33(www-data) over HTTP, one-shot#infosec #php2shell #php https://t.co/4elH5wcjZH pic.twitter.com/rtP33SYXe2
— Rafał (@rafalohaki) October 22, 2026
Güncelleme hangi açıkları kapattı?
PHP geliştiricileri 21 Ekim’de PHP 8.5.12 ile birlikte 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. Resmi duyuruya göre bu güncellemeler, kötü niyetli kişilerin hiçbir şifreye ihtiyaç duymadan sunucuda istedikleri kodu çalıştırmasına imkan tanıyan iki kritik açığı kapatıyor. Açıklar PHP’nin bellek yönetimindeki hatalardan kaynaklanıyordu.
PHP Foundation, sorunu geçici olarak önlemenin bir yolu olmadığını, tek güvenli seçeneğin güncellemek olduğunu açıkladı. Bu nedenle yeni sürümlere geçiş, site sahipleri ve barındırma şirketleri için öncelikli iş haline geldi.
Yeni iddia neyi söylüyor?
Araştırmacının GitHub sayfasında paylaştığı bilgilere göre yeni yöntem, güncellemenin kapattığı bellek hatalarıyla ilgili değil. Saldırı, PHP’nin ziyaretçi oturumlarını kaydetme biçimindeki bir mantık zincirine dayanıyor. Araştırmacı bu yaklaşımın temelini başka bir araştırmacının daha önceki çalışmasına bağlıyor.
Ne var ki yöntemin işe yaraması için birkaç koşulun aynı anda bir araya gelmesi gerekiyor. Sunucunun oturum bilgilerini kaydederken ve okurken farklı ayarlar kullanması, dosya yükleme ilerlemesini izleyen bir özelliğin açık olması ve sitenin kendi kodunda saldırganın faydalanabileceği belirli bir parçanın bulunması şart. Araştırmacının kendisi de bunu PHP’nin çekirdeğindeki bir açık yerine “mantık hatası” olarak tanımlıyor. İddia için şimdiye kadar ayrı bir CVE numarası, yani resmi güvenlik açığı kaydı da açılmadı.
Uzmanlar ne diyor?
X ve Hacker News’teki tartışmalarda pek çok geliştirici, sorunun PHP’den çok site kodundan kaynaklandığı görüşünde birleşti. @symbix gibi kullanıcılar, ziyaretçiden gelen bilgiyi kontrolsüz biçimde kullanan sitelerin zaten risk altında olduğunu hatırlattı. PHP güvenlik ekibi veya bağımsız bir güvenlik şirketi ise yeni iddiayı doğrulayan bir açıklama yapmadı.
Siber Güvenlik Başkanlığı ne açıkladı?
Türkiye’de de PHP açıkları gündemin üst sıralarına çıktı. Cumhurbaşkanlığı’na bağlı Siber Güvenlik Başkanlığı, 21 Ekim’de yayımladığı TR-26-1372 kodlu bildirimle ulusal çapta güvenlik taramaları başlattığını duyurdu. Başkanlık, kamu kurumları, kritik altyapı işletmecileri ve özel sektör kuruluşlarından PHP kullanan sistemlerini belirleyip gecikmeden güvenli sürümlere yükseltmelerini istedi. Bildirimde ayrıca yönetim panellerine ve kritik PHP servislerine dışarıdan erişimin yalnızca yetkili IP adresleriyle sınırlandırılması, yurt dışından erişime ihtiyaç duymayan sistemlerin ise uluslararası trafiğe kapatılması tavsiye edildi.
Başkanlık bir gün sonra yaptığı açıklamada ise e-Devlet Kapısı’na ilişkin incelemelerin sonucunu paylaştı. Açıklamada “69 milyonu aşkın kullanıcıya hizmet veren e-Devlet Kapısı’nda, PHP altyapısında tespit edilen kritik güvenlik açıklarına ilişkin gerçekleştirilen incelemelerde, hizmetlerin güvenliğini olumsuz etkileyen herhangi bir sorun tespit edilmedi” ifadeleri yer aldı. Başkanlığın uyarıları güncellemeyle kapatılan iki kritik açığa yönelik; araştırmacının yeni iddiası hakkında kurumdan henüz bir değerlendirme gelmedi.
Kısacası mevcut bilgiler, her PHP sitesinin tehlikede olduğu yönünde değil. Saldırı, belirli ayarlara ve hatalı yazılmış site koduna sahip sunucularda mümkün görünüyor. Yine de site yöneticilerine yapılan çağrı değişmiyor: PHP’yi en güncel sürüme yükseltmek, oturum ayarlarını tutarlı tutmak ve ziyaretçiden gelen bilgilerin doğrudan dosya olarak çalıştırılmasına izin veren kodları temizlemek, hem kapatılan açıklara hem de bu yeni iddiaya karşı en etkili önlem olarak öne çıkıyor.
