Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, dünya genelinde yaygın olarak kullanılan PHP yazılımında iki kritik güvenlik açığı tespit edildiğini duyurdu. “PHP2Shell” olarak isimlendirilen açıkların kimi sistemlere şifresiz müdahaleye imkan tanıyabildiği belirtilirken, 69 milyondan fazla kullanıcısı bulunan e-Devlet Kapısı’nda yapılan kontrollerde hizmet güvenliğini olumsuz etkileyen bir sıkıntıya rastlanmadığı açıklandı. Pekala, PHP2Shell açığı nedir? PHP ne manaya geliyor? PHP2Shell krizi ne kadar büyük?
PHP NEDİR?
PHP, internet sitelerinin çalışmasını sağlayan bir programlama lisanıdır. Arka planda çalışır. Bir kullanıcı internet sitesini açtığında, PHP’nin çalıştığı sunucu içerikleri bir araya getirir ve tamamlanan sayfayı kullanıcının tarayıcısına gönderir.
PHP, fiyatsız ve açık kaynak kodlu bir programlama dilidir. İnternet sitesi sahipleri ise çoklukla PHP ile direkt etkileşimde bulunmaz.
Web teknolojileri araştırma kuruluşu W3Techs’in datalarına nazaran PHP, kullanılan programlama lisanı tespit edilebilen internet sitelerinin yaklaşık yüzde 70’inde yer alıyor.
PHP birebir vakitte şahsî bloglar, küçük işletmelerin internet siteleri, kamu portalları, çevrimiçi alışveriş platformları ve haber sitelerinde de kullanılıyor.
PHP2SHELL GÜVENLİK AÇIĞI NE ANLAMA GELİYOR?
PHP, sunucu tarafında çalışan ve web sayfalarını üreten bir programlama lisanı. WordPress, Drupal, Joomla ve Wikipedia’nın altyapısı MediaWiki üzere yaygın sistemler PHP ile çalışıyor. Bu yüzden lisandaki bir kusur, üzerinde çalışan milyonlarca siteyi birebir anda ilgilendiriyor.
Bu seferki PHP güvenlik açığı, sitelerin kendi kodunda ya da eklentilerinde değil, direkt PHP’nin çekirdeğinde. PHP ekibinin güvenlik duyurusuna nazaran birinci açık (CVE-2026-109618), bellek yetersizliği yanlışı bir isteği yarıda kestiğinde ortaya çıkıyor. İstek verisi yarım kalıyor, paklık kademesi ise bu bozuk bilgiyi geçerli sanıyor. İkinci açık (CVE-2026-109619) ise bir isteğe ilişkin iç bilginin, belleği boşaltıldıktan sonra da sistemde kalmasıyla ilgili. Birebir personel süreç bir sonraki isteği işlerken bu “bayat” bilgiyi kullanabiliyor.
Açıkları bulan gruplardan Wiz Research’e nazaran sonuç iki türlü olabiliyor: Saldırgan ya sunucuda kod çalıştırıyor ya da PHP sürecinin belleğindeki parola, oturum anahtarı ve API anahtarı üzere bilgileri okuyabiliyor. Wiz, sorunun uygulamadan bağımsız olduğunun altını çiziyor. Yani açık bir PHP sürümünde çalışan, sırf “Merhaba Dünya” yazan kolay bir sayfa bile risk altında.
