PHP kritik güvenlik açığı, PHP yazılımındaki bir zafiyetin web sitelerinin veya sunucuların güvenliğini tehlikeye atmasıdır. Ekim 2026’da gündeme gelen CVE-2026-109618 ve CVE-2026-109619 güvenlik açıkları, PHP kullanan sistemlerde uzaktan kod çalıştırma riski nedeniyle dikkat çekmiştir. Özellikle güvenli hosting altyapısı kullanan site sahiplerinin bile PHP sürümlerini ve yayımlanan güvenlik güncellemelerini takip etmesi gerekir.
PHP; WordPress, Joomla, Drupal ve birçok web uygulamasında kullanılan bir programlama dilidir. Bu nedenle PHP’nin kendisinde ortaya çıkan bir güvenlik sorunu, farklı yazılımları ve barındırma ortamlarını etkileyebilir. Güvenlik riskini azaltmak için kullanılan PHP sürümünün belirlenmesi, gerekli güncellemelerin uygulanması ve sunucu faaliyetlerinin kontrol edilmesi önemlidir.
PHP Güvenlik Açığı Nedir?
PHP güvenlik açığı, PHP’nin çalışma biçiminde veya bileşenlerinde bulunan ve saldırganlar tarafından kötüye kullanılabilen bir yazılım zafiyetidir. Güvenlik açığının türüne göre yetkisiz erişim, veri sızıntısı veya zararlı kod çalıştırılması gibi sonuçlar ortaya çıkabilir.
PHP açıklarının etkisi, kullanılan sürüme ve sunucu yapılandırmasına göre değişebilir. Özellikle sunucu güvenliği ve yapılandırması düzenli kontrol edilmeyen sistemlerde güvenlik risklerinin tespit edilmesi zorlaşabilir.
PHP’de Tespit Edilen Kritik Güvenlik Açıkları Nelerdir?
Ekim 2026’da PHP altyapısını ilgilendiren iki kritik güvenlik açığı kamuoyunun gündemine gelmiştir. Bu açıklar, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilmektedir.
Her iki açık için bildirilen CVSS v4.0 önem derecesi 9,2/10’dur. Bu puan, güvenlik açıklarının yüksek öncelikle değerlendirilmesi gerektiğini göstermektedir.
CVE-2026-109618 ve CVE-2026-109619
PHP2Shell adıyla da anılan bu güvenlik açıklarının uzaktan kod çalıştırma (Remote Code Execution – RCE) riski taşıdığı bildirilmiştir.
Uzaktan kod çalıştırma, saldırganın savunmasız bir sistemde yetkisi olmadan komut veya kod çalıştırabilmesi anlamına gelir. Böyle bir saldırının başarılı olması durumunda web sitesi dosyaları değiştirilebilir, hassas verilere erişilebilir veya sunucunun güvenliği tehlikeye girebilir.
İlk güvenlik uyarılarında PHP 5 ve sonraki sürümlerin etkilenebileceği belirtilmiştir. Ancak hangi sürümlerin ve yapılandırmaların kesin olarak savunmasız olduğu, resmî teknik açıklamalar ve güvenlik yamaları üzerinden kontrol edilmelidir.
PHP Güvenlik Açığı Hangi Siteleri Etkileyebilir?
PHP tabanlı uygulamalar kullanan web siteleri, güvenlik açığının teknik koşullarına bağlı olarak risk altında olabilir. PHP kullanan yaygın sistemlerden bazıları şunlardır;
Bu yazılımlardan birini kullanmak, web sitesinin kesin olarak güvenlik açığından etkilendiği anlamına gelmez. Risk değerlendirmesinde PHP sürümü, kullanılan güvenlik yamaları ve sunucu yapılandırması birlikte incelenmelidir.
PHP Sürümü Nasıl Öğrenilir?
PHP güvenlik açıklarına karşı önlem almanın ilk adımı, web sitenizde hangi PHP sürümünün kullanıldığını belirlemektir. PHP sürümü genellikle hosting kontrol paneli üzerinden öğrenilebilir.
cPanel Üzerinden PHP Sürümü Öğrenme
cPanel kullanan bir hosting hesabında PHP sürümünü öğrenmek için;
Görüntülenen sürümün güncel güvenlik duyurularına göre desteklenip desteklenmediğini inceleyin. PHP sürümünü değiştirmeden önce web sitenizin yeni sürümle uyumluluğunu kontrol edin.
Plesk Üzerinden PHP Sürümü Öğrenme
Plesk kontrol panelinde PHP sürümünü öğrenmek için;
PHP sürümünü güncellemeniz gerekiyorsa önce web sitenizin yedeğini alın. Özellikle eski tema, eklenti veya özel PHP kodları bulunan sitelerde uyumluluk testi yapılması önemlidir.
PHP Güvenlik Açığından Korunmak İçin Ne Yapılmalı?
PHP güvenlik açıklarına karşı alınacak en önemli önlem, kullanılan sürüm için yayımlanan resmî güvenlik düzeltmelerini uygulamaktır. Bunun yanında web sitesi dosyaları, sunucu kayıtları ve kullanılan uygulamalar da kontrol edilmelidir.
1. PHP Güvenlik Güncellemelerini Kontrol Edin
Öncelikle PHP’nin resmî güvenlik duyurularını inceleyin. Kullanılan sürüm için bir güvenlik yaması yayımlanmışsa hosting sağlayıcınızın veya sunucu yöneticinizin yönergelerine göre güncelleme yapın. PHP güncellemesi sırasında şu noktalara dikkat edin;
- Mevcut PHP sürümünü belirleyin.
- Güvenlik düzeltmesinin hangi sürümleri kapsadığını kontrol edin.
- Güncelleme öncesinde yedek alın.
- Güncellemeyi uyguladıktan sonra web sitesini test edin.
Desteği sona ermiş PHP sürümlerinde yalnızca sürüm değiştirmek yerine desteklenen ve güvenlik düzeltmeleri uygulanmış bir sürüme geçmek gerekir.
2. Web Sitesi ve Sunucu Yedeklerini Alın
Güvenlik güncellemelerinden önce web sitesi dosyalarının ve veritabanlarının yedeğini alın.
Yedeklerin yalnızca sunucu üzerinde tutulması yeterli olmayabilir. Mümkünse ayrı bir depolama alanında saklayın ve ihtiyaç halinde geri yüklenebildiğinden emin olun.
Yedekleme, güvenlik açığını ortadan kaldırmaz ancak güncelleme sırasında yaşanabilecek sorunlarda veya veri kaybı durumunda kurtarma sürecini kolaylaştırır.
3. WordPress ve Eklentileri Güncel Tutun
WordPress kullanıyorsanız çekirdek yazılımı, temaları ve eklentileri düzenli olarak güncelleyin. Kullanılmayan eklentileri kaldırın ve güvenilir kaynaklardan edinilmeyen yazılımları kullanmayın.
Ancak PHP’nin kendisinde bulunan bir güvenlik açığı, yalnızca WordPress eklentilerini güncelleyerek giderilemez. PHP güvenlik düzeltmesinin ayrıca uygulanması gerekir.
4. Sunucu Güvenlik Kayıtlarını Kontrol Edin
PHP güvenlik açıklarının istismar edilip edilmediğini değerlendirmek için web sunucusu ve PHP hata kayıtları incelenmelidir. Özellikle aşağıdaki durumlar araştırılabilir;
- Beklenmeyen PHP hata kayıtları.
- Web sitesi dosyalarında izinsiz değişiklikler.
- Bilinmeyen dosya veya kullanıcı hesaplarının oluşması.
- Web sunucusu süreçlerinden beklenmeyen komutların çalıştırılması.
- Olağan dışı trafik ve erişim girişimleri.
Bu belirtiler tek başına saldırı gerçekleştiğini kanıtlamaz. Şüpheli faaliyet tespit edildiğinde ayrıntılı güvenlik incelemesi yapılmalıdır.
5. Hosting Sağlayıcınızla İletişime Geçin
Paylaşımlı hosting kullanıyorsanız PHP güvenlik güncellemelerinin bir bölümü hosting sağlayıcınız tarafından yönetilir. Bu nedenle kullanılan PHP sürümünün güvenlik düzeltmelerini içerip içermediğini firmanızdan öğrenebilirsiniz.
Kendi sunucusunu yöneten kullanıcıların ise işletim sistemi paketlerini, PHP çalışma ortamını ve ilgili servisleri kontrol etmesi gerekir.
Güncellemenin henüz uygulanamadığı kritik sistemlerde internete açık erişimin sınırlandırılması gibi geçici önlemler değerlendirilebilir. Ancak bu önlemler, güvenlik yamasının yerine geçmez.
Sık Sorulan Sorular
PHP güvenlik açığı WordPress sitelerini etkiler mi?
WordPress PHP kullandığı için PHP’nin kendisindeki güvenlik açıklarından etkilenebilir. Ancak her WordPress sitesinin kesin olarak savunmasız olduğu söylenemez; kullanılan PHP sürümü ve güvenlik düzeltmeleri kontrol edilmelidir.
PHP sürümünü güncellemek güvenlik açığını kapatır mı?
Güvenlik açığını gideren düzeltmeleri içeren bir PHP sürümüne geçmek, ilgili açığın kapatılmasını sağlayabilir. Ancak yalnızca daha yüksek bir sürüm numarasına geçmek yeterli değildir; kullanılan paketin gerekli güvenlik yamalarını içerdiği doğrulanmalıdır.
Eski PHP sürümlerini kullanmak güvenli mi?
Resmi desteği sona ermiş PHP sürümleri yeni güvenlik düzeltmelerini alamayabilir. Bu nedenle mümkün olduğunda desteklenen PHP sürümleri kullanılmalı, eski sürümlerde kalınması gerekiyorsa sağlayıcının sunduğu güvenlik desteği kontrol edilmelidir.
PHP güvenlik açığı nedeniyle web sitem hacklenebilir mi?
Bazı PHP güvenlik açıkları uygun koşullarda saldırganların sunucuda yetkisiz işlemler gerçekleştirmesine neden olabilir. Ancak bir güvenlik açığının duyurulması, PHP kullanan bütün web sitelerinin ele geçirildiği anlamına gelmez. Riski azaltmak için güvenlik güncellemeleri geciktirilmemelidir.
Merhaba, ben Ömer Faruk Çolak. Dijital dünyada var olmanın ve web projelerini en verimli şekilde yönetmenin yollarını keşfetmeyi çok seviyorum 🤗
Yıllardır SEO uzmanı ve içerik üreticisi olarak; web barındırma, sunucu teknolojileri ve dijital pazarlama üzerine pratik rehberler kaleme alıyorum. Karmaşık teknik süreçleri en anlaşılır hale getirmeyi amaçlayan tecrübelerimi ve ipuçlarını Turkishost blogunda sizlerle paylaşıyorum. Amacım, teknik detaylarda kaybolmadan projelerinizi bir üst seviyeye taşımanıza yardımcı olmak 🚀🚀