Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, dünya genelinde yaygın olarak kullanılan PHP yazılımında iki kritik güvenlik açığı tespit edildiğini duyurdu. “PHP2Shell” olarak adlandırılan açıkların bazı sistemlere şifresiz müdahaleye olanak tanıyabildiği belirtilirken, 69 milyondan fazla kullanıcısı bulunan e-Devlet Kapısı’nda yapılan kontrollerde hizmet güvenliğini olumsuz etkileyen bir soruna rastlanmadığı açıklandı. Peki, PHP2Shell açığı nedir? PHP ne anlama geliyor? PHP2Shell krizi ne kadar büyük?
PHP NEDİR?
PHP, internet sitelerinin çalışmasını sağlayan bir programlama dilidir. Arka planda çalışır. Bir kullanıcı internet sitesini açtığında, PHP’nin çalıştığı sunucu içerikleri bir araya getirir ve tamamlanan sayfayı kullanıcının tarayıcısına gönderir.
PHP, ücretsiz ve açık kaynak kodlu bir programlama dilidir. İnternet sitesi sahipleri ise genellikle PHP ile doğrudan etkileşimde bulunmaz.
Web teknolojileri araştırma kuruluşu W3Techs’in verilerine göre PHP, kullanılan programlama dili tespit edilebilen internet sitelerinin yaklaşık yüzde 70’inde yer alıyor.
PHP aynı zamanda kişisel bloglar, küçük işletmelerin internet siteleri, kamu portalları, çevrimiçi alışveriş platformları ve haber sitelerinde de kullanılıyor.
PHP2SHELL GÜVENLİK AÇIĞI NE ANLAMA GELİYOR?
PHP, sunucu tarafında çalışan ve web sayfalarını üreten bir programlama dili. WordPress, Drupal, Joomla ve Wikipedia’nın altyapısı MediaWiki gibi yaygın sistemler PHP ile çalışıyor. Bu yüzden dildeki bir hata, üzerinde çalışan milyonlarca siteyi aynı anda ilgilendiriyor.
Bu seferki PHP güvenlik açığı, sitelerin kendi kodunda ya da eklentilerinde değil, doğrudan PHP’nin çekirdeğinde. PHP ekibinin güvenlik duyurusuna göre birinci açık (CVE-2026-109618), bellek yetersizliği hatası bir isteği yarıda kestiğinde ortaya çıkıyor. İstek verisi yarım kalıyor, temizlik aşaması ise bu bozuk veriyi geçerli sanıyor. İkinci açık (CVE-2026-109619) ise bir isteğe ait iç verinin, belleği boşaltıldıktan sonra da sistemde kalmasıyla ilgili. Aynı işçi süreç bir sonraki isteği işlerken bu “bayat” veriyi kullanabiliyor.
Açıkları bulan ekiplerden Wiz Research’e göre sonuç iki türlü olabiliyor: Saldırgan ya sunucuda kod çalıştırıyor ya da PHP sürecinin belleğindeki parola, oturum anahtarı ve API anahtarı gibi bilgileri okuyabiliyor. Wiz, sorunun uygulamadan bağımsız olduğunun altını çiziyor. Yani açık bir PHP sürümünde çalışan, yalnızca “Merhaba Dünya” yazan basit bir sayfa bile risk altında.
