İnternet Siteleri Tehlikede: PHP Tüm Dünyayı Kitledi
İnternetin büyük bir bölümüne güç veren PHP programlama dili, yapay zeka destekli araştırmalar sonucunda ortaya çıkan iki kritik güvenlik açığı ile sarsıldı. Söz konusu açıklar, dünya genelinde birçok kurumun web sitelerini geçici olarak erişime kapatmasına neden oldu.
Güvenlik araştırmacıları tarafından çarşamba günü keşfedilen bu zafiyetler için hızlı bir güncelleme yayımlandı. Ancak güncellemeyi henüz uygulayamayan kuruluşlara, sistemlerini güvenli hale getirene kadar çevrim dışı kalmaları tavsiye edildi.
İnternet Dünyasında Güvenlik Alarmı
Güvenlik açıklarının etkisi, kamu kurumlarından medya kuruluşlarına kadar geniş bir alana yayıldı. Finlandiya hükümeti, kamuya açık web hizmetlerini güvenlik gerekçesiyle geçici olarak devre dışı bıraktı.
Two critical vulnerabilities have been identified in PHP, a widely used programming language that powers websites and web applications. These vulnerabilities (CVE-2026-109618 and CVE-2026-109619) could allow malicious cyber actors to remotely execute code in PHP core, potentially compromising sensitive data and networks.
The FBI urges organizations to take the following steps now:
➡️ If an immediate update is not feasible it is recommended that organizations take the system offline until it can be fully mitigated.
➡️ Immediately update affected PHP installations following the guidance on https://t.co/rDrPSxB3zX. Inventory where PHP runs in your environment, prioritizing internet-facing systems and vendor products that bundle PHP.
➡️ Monitor web servers for suspicious activity, including PHP processes unexpectedly launching command shells or downloading files. Ensure appropriate process-monitoring capabilities are in place to help identify potential exploitation.
➡️ If you find signs of compromise, isolate affected systems, preserve your web server and PHP logs, and report it to your local FBI field office or https://t.co/iqgVZIbCru. Those reports help us identify the actors involved and warn other organizations before they become victims.
For the latest information, follow PHP’s announcement on https://t.co/rDrPSxB3zX, CERT-EU Security Advisory 2026-018, and CISA’s Known Exploited Vulnerabilities catalog.
— FBI Cyber Division (@FBICyberDiv) October 21, 2026
Hollanda’nın ulusal siber güvenlik kurumu da kendi internet sitesini erişime kapattığını duyurdu. Ülkedeki Ulusal Halk Sağlığı ve Çevre Enstitüsü ile parlamentonun alt kanadı Tweede Kamer’ın internet sitelerine de erişim sağlanamadı.
İngiltere’de Edinburgh Belediyesi’nin internet sitesi erişilemez hale gelirken, BBC’nin bazı sayfalarında da benzer sorunlar yaşandı. Wikipedia’yı işleten Wikimedia Vakfı, güvenlik açıklarına karşı önlem aldığını ve bazı sistemlerini tedbir amacıyla kapattığını bildirdi.
Dijital sanat platformu DeviantArt ise internet sitesini geçici bakım gerekçesiyle erişime kapattığını açıkladı. ABD Ulusal Güvenlik Ajansı ve Federal Soruşturma Bürosu, güncellemeyi uygulayamayan kuruluşlara sistemlerini çevrim dışı bırakmalarını tavsiye etti.
Beyaz Saray, federal kurumların düzeltme çalışmalarını hızlandırmak için önde gelen yapay zeka laboratuvarlarıyla birlikte çalıştığını belirtti. Japonya Başbakanı Sanae Takaichi, kuruluşlara kamuya açık internet sitelerinin PHP kullanıp kullanmadığını kontrol etmeleri çağrısında bulundu.
İngiltere Ulusal Siber Güvenlik Merkezi ve Avrupa Birliği’ndeki ilgili kurumlar, PHP kullanan kuruluşların güvenlik güncellemelerini uygulamalarını istedi. Avrupa Birliği Bilgisayar Acil Müdahale Ekibi, açıkların kimlik doğrulaması gerektirmeden uzaktan kod çalıştırma ihtimaline işaret ettiğini bildirdi.
Yapay Zeka Destekli Keşif ve Güncelleme Çağrısı
Açıklar, siber güvenlik şirketleri Calif ve Wiz bünyesindeki araştırmacılar tarafından tespit edildi. Çalışmalar, OpenAI tarafından başlatılan ve yazılımlardaki güvenlik sorunlarını bulup gidermeyi amaçlayan Patch the Planet programı kapsamında yürütüldü.
皆様に、今夜に対応して頂きたい大至急のお願いです。
多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。
公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。
修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。
国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。
国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X— 高市早苗 (@takaichi_sanae) October 21, 2026
Program kapsamında Calif ve PHP Foundation, OpenAI’ın gelişmiş yapay zeka araçlarına erişerek web geliştirme teknolojilerindeki güvenlik açıklarını araştırdı. Wiz, on yılı aşkın süredir fark edilmeyen açıkların, gelişmiş yapay zeka araçlarının kullanıldığı birkaç haftalık çalışmanın ardından ortaya çıkarıldığını belirtti.
Şirket, ileri seviye yapay zeka modellerinin farklı uygulamalarda çalışan istismar yöntemlerinin geliştirilmesini saatler içinde mümkün kıldığını ifade etti. Wiz, güvenlik açıklarının internetin yaklaşık yüzde 70’ini etkileyebileceğini tahmin ediyor.
Siber güvenlik şirketi Huntress, PHP’nin WordPress, Drupal, Joomla ve Magento gibi yaygın içerik yönetim sistemlerinde kullanıldığına dikkat çekti. Bazı ürünlerde PHP’nin arka planda çalıştığının kullanıcılar veya sistem yöneticileri tarafından fark edilmeyebileceği belirtildi.
Sophos Counter Threat Unit uzmanı Don Smith, bu açıkların saldırganlar açısından öncelikli hedeflerden biri haline gelebileceğini söyledi. İnternet altyapı şirketi Cloudflare’dan Dane Knecht, açıklarla bağlantılı ilk saldırıların görülmeye başladığını açıkladı.
CERT-EU, sorunun 2004 yılında yayımlanan PHP 5 dahil olmak üzere daha eski sürümlere kadar uzanabileceği uyarısında bulundu. PHP 8.1 ve daha eski sürümleri kullananların daha güncel bir sürüme geçmesi öneriliyor.
Sizce bu tür güvenlik açıkları internetin genel güvenliği üzerinde ne kadar büyük bir risk oluşturuyor?
Yorumunuz gönderildi,
onaylandıktan sonra yayımlanacak.