Dünyada siber güvenlik paniği: PHP nedir, ne işe yarar? PHP2Shell güvenlik açığı neden dünya çapında alarm yarattı?

PHP nedir? sorusu, dünya genelinde etkisi hissedilen yeni siber güvenlik alarmının ardından en çok araştırılan teknoloji başlıkları arasına girdi.

DÜNYADA SİBER GÜVENLİK PANİĞİ
İnternet siteleri ve web uygulamalarının arka planında çalışan PHP yazılımında iki kritik güvenlik açığının ortaya çıkması, kamu kurumlarından teknoloji şirketlerine kadar geniş bir kesimi harekete geçirdi.

PHP ekibi, 21 Ekim 2026’da yaptığı resmi açıklamada CVE-2026-109618 ve CVE-2026-109619 kodlu iki kritik açığın kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına imkan verebildiğini duyurdu ve kullanıcıların sistemlerini derhal güncellemesini istedi.

PHP NEDİR?
PHP, özellikle web geliştirme amacıyla kullanılan açık kaynaklı ve sunucu taraflı bir programlama dilidir.

Bir kullanıcı internet sitesine girdiğinde PHP kodları doğrudan kullanıcının tarayıcısında değil, sitenin bulunduğu sunucuda çalışır.

PHP; dinamik internet sayfaları oluşturmak, veri tabanlarıyla iletişim kurmak, kullanıcı girişlerini yönetmek, form verilerini işlemek, e-ticaret sistemleri oluşturmak ve web uygulamalarının arka plan işlemlerini yürütmek için kullanılabiliyor.

PHP’nin resmi sitesi de dili, özellikle web geliştirmeye uygun genel amaçlı bir betik dili olarak tanımlıyor.

PHP AÇILIMI NEDİR?
PHP’nin günümüzde kullanılan açılımı, PHP Hypertext Preprocessor şeklinde.

“Personal Home Page” ifadesi ise PHP’nin ilk geliştirildiği dönemde kullanılan Personal Home Page Tools adından geliyor.

Dolayısıyla PHP’nin güncel Türkçe karşılığını doğrudan “Kişisel Ana Sayfa” şeklinde vermek teknik olarak doğru değil.

PHP NE İŞE YARAR?
PHP özellikle internet sitelerinin kullanıcı tarafından görülmeyen arka uç yani backend bölümünde çalışıyor.

Örneğin bir internet sitesinde kullanıcının hesabına giriş yapması, veri tabanından ürünlerin çekilmesi, haberlerin ekranda gösterilmesi, alışveriş sepetinin oluşturulması, üyelik bilgilerinin kaydedilmesi gibi birçok işlem PHP ile gerçekleştirilebiliyor.

WordPress, Drupal ve Joomla gibi yaygın içerik yönetim sistemleri de PHP altyapısını kullanıyor.

PHP NE KADAR YAYGIN KULLANILIYOR?
PHP’nin güvenlik açığının küresel ölçekte bu kadar önemli hale gelmesinin temel nedenlerinden biri kullanım oranı. W3Techs’in 21 Ekim 2026 verilerine göre PHP, sunucu taraflı programlama dili tespit edilebilen internet sitelerinin yaklaşık yüzde 69,3’ünde kullanılıyor. Bu oran, PHP’nin web altyapısındaki ağırlığını gösteriyor. Ancak PHP’nin yaklaşık yüzde 70 oranında kullanılması, internet sitelerinin yüzde 70’inin saldırıya uğradığı veya hepsinin savunmasız olduğu anlamına gelmiyor. Risk kullanılan PHP sürümüne, sunucu yapılandırmasına ve güvenlik güncellemelerinin uygulanıp uygulanmadığına göre değişiyor.

PHP2SHELL NEDİR?
PHP2Shell, PHP altyapısında ortaya çıkarılan iki kritik güvenlik açığı için kullanılan isim.

Açıklar,  CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip ediliyor.

İki açığın da CVSS 4.0 puanı 9,2, yani “kritik” seviyede.

Güvenlik araştırmacıları, uygun koşullarda bu açıkların saldırganların uzaktan kod çalıştırmasına imkan verebildiğini ortaya koydu.

PHP GÜVENLİK AÇIĞI NEDEN BU KADAR TEHLİKELİ?
PHP2Shell açıklarının en dikkat çekici tarafı, bazı senaryolarda saldırganın önceden sisteme giriş yapmasına gerek kalmaması. NHS England’ın siber güvenlik uyarısına göre başarılı bir saldırıda yetkisiz bir kişi uzaktan kod çalıştırabilir, PHP belleğindeki hassas verilere erişebilir ve savunmasız sunucuyu ele geçirmek için saldırıyı ilerletebilir. Bu nedenle özellikle internete açık PHP sunucuları yüksek risk grubunda değerlendiriliyor.

PHP2SHELL İLE KORSANLAR NE YAPABİLİR?
Açıkların başarıyla kullanılması halinde saldırganların sistem üzerindeki yetkisine bağlı olarak farklı sonuçlar ortaya çıkabilir.

Bunlar arasında:

sunucuda kötü amaçlı kod çalıştırılması,

hassas verilerin açığa çıkması,

internet sitesinin değiştirilmesi,

zararlı yazılım yüklenmesi,

sistemlerin başka saldırılarda kullanılması gibi riskler bulunuyor.

Ancak güvenlik açığının bulunması, bütün PHP kullanan internet sitelerinin saldırıya uğradığı anlamına gelmiyor.

TÜRKİYE’DE PHP GÜVENLİK AÇIĞI İÇİN ALARM
PHP2Shell açıklarının ortaya çıkmasının ardından Türkiye’de de harekete geçildi.

Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, PHP kullanan sistemlere yönelik ulusal ölçekte önleyici güvenlik çalışmalarını başlattı.

Anadolu Ajansı kaynaklı bilgilere göre kamu kurumları başta olmak üzere sistemlerde güvenlik taramaları devreye alınırken ilgili kurumlara gerekli tedbirlerin alınması yönünde bildirimler gönderildi.

PHP GÜNCELLEMESİ YAPMAK NEDEN ÖNEMLİ?
PHP geliştiricileri, söz konusu açıklar için tam koruma sağlayan temel çözümün güvenli sürüme güncelleme olduğunu belirtiyor.

İngiltere Ulusal Siber Güvenlik Merkezi de güncellemeyi hemen uygulayamayan kurumlara, risk değerlendirmesine göre savunmasız sistemleri geçici olarak internet erişiminden ayırmayı değerlendirmelerini tavsiye ediyor.

PHP AÇIKLARINI YAPAY ZEKA MI BULDU?
Yeni PHP açıklarının keşfinde yapay zekâ destekli güvenlik araştırmaları önemli rol oynadı.

OpenAI’nin 21 Ekim tarihli açıklamasına göre Calif, OpenAI’nin GPT-5.6 Sol modelini kullanarak kritik açıklardan birini tespit etti.

Wiz ise iki güvenlik açığını bağımsız olarak keşfedip bildirdi. PHP geliştiricileri, OpenAI, Wiz, Cloudflare ve diğer güvenlik ekipleri daha sonra koordineli biçimde düzeltme ve koruma sürecinde çalıştı.

Cloudflare da PHP2Shell açıklarının 21 Ekim’de kamuoyuna açıklanmasından önce web uygulaması güvenlik duvarı korumalarını devreye aldığını bildirdi.

PHP GÜVENLİK AÇIĞI ÖNCEDEN BİLİNİYOR MUYDU?
Güvenlik açıklarına ilişkin düzeltmeler koordineli açıklama süreci kapsamında hazırlanıyordu.

Ubuntu’nun güvenlik açıklamasına göre kamuya açıklamanın başlangıçta 22 Ekim 2026 saat 14.00 UTC için yapılması planlandı.

Ancak güvenlik açığına ilişkin bilgilerin kamuya sızmasının ardından açıklama ve güncelleme süreci 21 Ekim’e çekildi.

CERT-EU da henüz ayrıntılar tamamen açıklanmadan kurumlara sistemlerini güncellemek için hazırlık yapmaları yönünde uyarı yayımlamıştı.

PHP KULLANAN TÜM SİTELER TEHLİKEDE Mİ?
PHP’nin yaygın kullanılması güvenlik açığının potansiyel etki alanını büyütüyor ancak bütün PHP sitelerinin saldırıya uğradığı anlamına gelmiyor.

Risk; PHP sürümüne, sunucu yapılandırmasına, uygulanan yamalara, hosting sağlayıcısının güvenlik durumuna ve sunucunun internete açık olup olmamasına göre değişiyor.

PHP’nin resmi açıklamasına göre risk özellikle web isteklerini işleyen PHP kurulumlarını kapsıyor.

WORDPRESS SİTELERİ ETKİLENİYOR MU?
WordPress PHP ile çalışan bir içerik yönetim sistemi olduğu için altyapısında savunmasız PHP sürümü kullanan WordPress siteleri de risk kapsamında olabilir.

Ancak WordPress kullanmak tek başına sitenin saldırıya açık olduğu anlamına gelmez.

Burada belirleyici unsur, WordPress’in üzerinde çalıştığı sunucudaki PHP sürümünün güvenli olup olmadığı ve gerekli yamaların uygulanıp uygulanmadığı.

NORMAL İNTERNET KULLANICILARI NE YAPMALI?
PHP2Shell esas olarak sunucu ve internet sitesi yöneticilerini ilgilendiren bir altyapı güvenlik açığı.

Bir internet sitesini yalnızca ziyaret eden kullanıcının kendi bilgisayarında PHP sürümü güncellemesi gerekmiyor.

Ancak olası bir site ihlali sonucunda kimlik avı veya veri sızıntısı yaşanabileceği için kullanıcıların:

şüpheli bağlantılara tıklamaması,

aynı şifreyi farklı hizmetlerde kullanmaması,

mümkün olan hesaplarda iki aşamalı doğrulamayı etkinleştirmesi

genel güvenlik açısından önem taşıyor.