İnternetin yaklaşık yüzde 70'inde kullanılan PHP, web sitelerinin arka planında çalışan ve sayfaların oluşturulmasını sağlayan bir programlama dili. WordPress başta olmak üzere milyonlarca internet sitesinin temelinde yer alan teknoloji, yapay zeka ile keşfedilen kritik güvenlik açıklarının ardından dünya genelinde gündeme geldi. Peki PHP nedir?
PHP nedir, ne işe yarıyor?
PHP, internet sitelerinin sunucu tarafındaki işlemlerini gerçekleştirmek için kullanılan bir programlama dili. Bir kullanıcı internet sitesini ziyaret ettiğinde sunucu, PHP aracılığıyla sayfanın içeriğini hazırlayabiliyor ve tamamlanan sayfayı kullanıcının tarayıcısına gönderiyor. Böylece kullanıcılar metinleri, görselleri, hesap bilgilerini ve diğer dinamik içerikleri görüntüleyebiliyor.
PHP ücretsiz ve açık kaynaklı bir yazılım. Geliştiriciler dili kullanabiliyor, kaynak kodunu inceleyebiliyor ve geliştirilmesine katkıda bulunabiliyor. Bakım çalışmaları PHP topluluğu ve PHP Foundation gibi kuruluşların katkılarıyla yürütülüyor. Site sahiplerinin PHP ile doğrudan etkileşim kurması gerekmese de kullandıkları altyapının güvenliği açısından bu dilin güncel tutulması önem taşıyor.
İnternetin ne kadarı PHP kullanıyor?
PHP'nin bu kadar önemli olmasının temel nedeni, internet genelinde yaygın biçimde kullanılması. W3Techs verilerine göre PHP, sunucu tarafında hangi programlama dilinin kullanıldığı bilinen internet sitelerinin yaklaşık yüzde 70'inde yer alıyor.
PHP'nin yaygınlığının arkasında WordPress gibi içerik yönetim sistemleri bulunuyor. W3Techs verilerine göre WordPress, tüm internet sitelerinin yaklaşık yüzde 40'ına güç veriyor. Bloglardan haber sitelerine, küçük işletmelerin internet sayfalarından çevrim içi mağazalara kadar çok sayıda platform bu altyapıyı kullanıyor.
Bununla birlikte PHP yalnızca WordPress ile sınırlı değil. Drupal, Joomla ve Magento gibi farklı içerik yönetimi ve e-ticaret sistemleri de PHP tabanlı çalışabiliyor. Bazı barındırma platformları ve üçüncü taraf yazılımlar da bu dili arka planda kullanıyor. Dolayısıyla bir internet sitesinin PHP kullandığı, her zaman dışarıdan bakıldığında anlaşılmayabiliyor.
PHP güvenlik açığı neden milyonlarca siteyi etkileyebiliyor?
PHP'nin çok geniş bir kullanım alanına sahip olması, dilin temelindeki bir güvenlik açığının etkisini de radikal düzeyde büyütüyor. Ekim 2026'da, sadece saatler önce gündeme gelen olayda PHP'de iki kritik güvenlik açığı tespit edildi. Açıkların saldırganlara, gerekli düzeltmeler uygulanmamış sunucularda yönetici hesabı veya parola olmadan uzaktan kod çalıştırma imkanı verebildiği bildirildi.
Uzaktan kod çalıştırma, saldırganın internet üzerinden hedef sunucuda kendi belirlediği komutları veya kodları çalıştırabilmesi anlamına geliyor. Böyle bir erişim, internet sitesinin içeriğinin değiştirilmesine, sunucudaki hassas verilere ulaşılmasına ve sistemin kontrolünün ele geçirilmesine kadar uzanan sonuçlar doğurabiliyor. Sunucuda saklanan parolalar, API anahtarları, şifreleme sertifikaları ve veri tabanları da risk altına girebiliyor.
CERT-EU, söz konusu güvenlik açıklarını CVSS 4.0 ölçeğinde 10 üzerinden 9,2 seviyesinde değerlendirdi. Bu puan, açıkların kritik düzeyde risk taşıdığına işaret ediyor. Cloudflare'ın teknoloji yöneticisi de ilk saldırıların görülmeye başladığını bildirdi.
Güvenlik açıklarının ortaya çıkmasıyla birlikte bazı Avrupa ülkelerindeki kamu kurumları, sistemlerini korumak amacıyla internet sitelerini geçici olarak erişime kapattı. Wikipedia'yı işleten Wikimedia Foundation da bazı sistemlerini güncellemeler güvenli biçimde uygulanana kadar devre dışı bıraktı. Buradaki temel risk, PHP kullanan her sitenin kesin olarak saldırıya uğramış olması değil, gerekli güncellemeleri yapmayan sistemlerin saldırılara açık hale gelebilmesi.
Yapay zeka, yıllardır fark edilmeyen açıkları nasıl buldu?
Güvenlik açıklarının keşfinde yapay zeka araçları önemli rol oynadı. Calif bünyesindeki araştırmacılar, OpenAI'ın GPT-5.6 Sol modeliyle yürüttükleri çalışma sırasında kritik bir açık tespit etti. Google çatısı altındaki siber güvenlik şirketi Wiz de kendi yapay zeka araçları ve modelleriyle yaptığı araştırmalarda güvenlik sorunlarını bağımsız olarak ortaya çıkardı.
Wiz'e göre bu açıkların kötüye kullanılabilir hale getirilmesi, geleneksel yöntemlerle son derece karmaşık bir dizi adım gerektiriyordu. Gelişmiş yapay zeka modelleri ise kodun incelenmesini, olası hata senaryolarının araştırılmasını ve açıkların nasıl istismar edilebileceğinin anlaşılmasını hızlandırdı.
PHP krizi interneti vurdu: Dünya çapında web siteleri kapatılıyor 21 dk. önce eklendi
Böylece uzun süredir kod tabanında bulunan güvenlik sorunlarının pratikte kullanılabilir saldırı yöntemlerine dönüştürülmesi kolaylaştı. Üstelik bir güvenlik açığı kamuoyuna açıklandıktan sonra saldırganlar da aynı bilgileri inceleyerek savunma önlemleri tamamlanmadan sistemlere saldırmaya çalışabiliyor. Bu durum, güvenlik güncellemelerinin hızlı uygulanmasını daha önemli hale getiriyor.
İnternet kullanıcıları PHP açığından nasıl etkilenebilir?
PHP'deki güvenlik açıkları doğrudan kullanıcıların bilgisayarlarında çalışan bir yazılımı hedef almıyor. Riskin merkezinde PHP kullanan ve gerekli güvenlik düzeltmelerini uygulamamış sunucular bulunuyor. Ancak ele geçirilen bir internet sitesi, zararlı yazılım dağıtmak veya ziyaretçilerin verilerini çalmak için kullanılabileceğinden kullanıcılar da dolaylı olarak etkilenebiliyor.
İnternet kullanıcılarının yapabileceği en önemli şey, kullandıkları hizmetlerin güvenlik duyurularını takip etmek ve şüpheli sitelere karşı dikkatli olmak. Bir internet sitesinin geçici olarak kapatılması da tek başına saldırıya uğradığını göstermiyor. Çünkü kurumlar olası riskleri azaltmak için önleyici tedbir olarak erişimi durdurmaya başlamış durumda.
İnternet sitesi işletenlerin ise kullandıkları altyapıda PHP bulunup bulunmadığını ve hangi sürümün çalıştığını kontrol etmesi gerekiyor. Barındırma hizmeti sağlayıcısı üzerinden yönetilen sitelerde güncellemenin ne zaman uygulanacağı hizmet sağlayıcısından öğrenilmeli. Özellikle PHP 8.1 ve daha eski sürümleri kullananların destek durumunu kontrol ederek güncel bir sürüme geçmesi gerekiyor.
Squarespace ve Wix gibi PHP tabanlı olmayan platformları kullanan siteler bu özel güvenlik açığından aynı şekilde etkilenmiyor. Buna karşılık kendi sunucusunda PHP çalıştıran veya PHP tabanlı bir içerik yönetim sistemi kullanan site sahiplerinin gerekli güncellemeleri ihmal etmemesi gerekiyor.
