PHP altyapısında tespit edilen iki kritik güvenlik açığı, internet siteleri için risk oluşturuyor. PHP2Shell adıyla anılan ve CVE-2026-109618 ile CVE-2026-109619 kodlarıyla takip edilen açıklar, belirli koşullarda kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına ve hassas verilerin açığa çıkmasına neden olabiliyor. PHP ekibi, güvenlik güncellemelerini 21 Ekim 2026’da yayımladı.

Açıkların tespitinde yapay zekâ kullanıldı

Calif Research ve Wiz Research ekipleri, PHP’nin kod yapısını birbirinden bağımsız inceleyerek güvenlik açıklarını tespit etti ve bulgularını PHP ekibiyle paylaştı.

OpenAI’ın yayımladığı bilgilere göre Calif Research, GPT-5.6 Sol modelinden yararlandı. Wiz Research ise Wiz Atlas, Gemini 4 Argon ve GPT-5.6 Sol araçlarını kullandı. Wiz’in açıklamasına göre Gemini 4 Argon, açığın tespit edilmesi ve güvenlik düzeltmesinin doğrulanması süreçlerine katkı sağladı.

Calif Research, bulgusunu 1 Ağustos 2026’da tespit ederek 11 Ağustos’ta bildirdi. Wiz Research ise ilk bulgusunu 19 Ağustos’ta tespit etti ve 24 Ağustos’ta PHP ekibine iletti.

WordPress siteleri de risk altında olabilir

PHP, WordPress başta olmak üzere birçok internet sitesi ve web uygulamasında kullanılıyor. Bu nedenle etkilenen PHP sürümlerini kullanan sunucular, üzerlerinde hangi uygulama çalışırsa çalışsın risk taşıyabiliyor.

Açıkların istismar edilmesi, sunucudaki yetki düzeyine bağlı olarak kod çalıştırılmasına ve hassas verilere erişilmesine yol açabiliyor. NHS England Digital, açıklarla ilgili başarılı istismarların WordPress, Drupal ve Joomla gibi PHP tabanlı ürünlerde gösterildiğini bildirdi. Ancak bu durum, tüm sitelerin saldırıya uğradığı anlamına gelmiyor.

Güvenlik güncellemeleri yayımlandı

PHP ekibi, açıkları gidermek için PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. PHP 8.1 ve daha eski sürümleri kullanan sistemlerde ise sağlayıcının güvenlik yaması sunup sunmadığı kontrol edilmeli; gerekli düzeltme bulunmuyorsa desteklenen bir sürüme geçilmeli.

Güncelleme sırasında yalnızca komut satırında görünen sürüm değil, web sunucusunun kullandığı PHP çalışma ortamı da kontrol edilmeli. Aynı sunucuda farklı siteler farklı PHP sürümlerini kullanabiliyor.

Güvenlik yamasının uygulanması riski azaltırken daha önce gerçekleşmiş olası saldırıları veya zararlı dosyaları ortadan kaldırmıyor. Bu nedenle güncelleme sonrasında sunucu kayıtları, şüpheli dosyalar ve yetkisiz hesaplar da incelenmeli. WordPress çekirdeği, temalar ve eklentiler ile sunucudaki diğer yazılımların güncel tutulması da önem taşıyor.