Milyonlarca internet sitesini ilgilendiren kritik açık! 9,2 risk puanıyla acil uyarı

Dünya genelinde milyonlarca internet sitesinin çalışmasını sağlayan PHP programlama dilinde tespit edilen iki kritik güvenlik açığı, siber güvenlik kuruluşlarını harekete geçirdi. Avrupa Birliği Bilgisayar Acil Durum Müdahale Ekibi (CERT-EU), CVSS v4.0 ölçeğinde 9,2 ciddiyet puanı verilen açıkların, saldırganların sistemlere giriş yapmadan uzaktan zararlı kod çalıştırabilmesine yol açabileceği uyarısında bulundu. Reuters’ın aktardığı bilgilere göre PHP geliştiricileri, güvenlik açıklarını kapatacak yamaların 21 Ekim 2026 tarihinde Türkiye saatiyle 17.00’de yayımlanacağını açıkladı. WordPress başta olmak üzere çok sayıda içerik yönetim sistemi ve barındırma hizmetini ilgilendiren gelişmenin ardından site sahiplerine sunucularındaki PHP sürümlerini kontrol etmeleri ve güvenlik güncellemelerini uygulamaları çağrısı yapıldı.

İNTERNETİN TEMEL ALTYAPISINDA İKİ KRİTİK AÇIK

İnternet sitelerinin önemli bir bölümünde kullanılan PHP programlama dilinde iki ayrı güvenlik açığı tespit edildi.

Söz konusu açıkların, internet üzerinden erişilebilen sunucularda ciddi güvenlik risklerine neden olabileceği belirtildi.

Avrupa Birliği’nin siber güvenlik yetkilileri, güvenlik yamalarının gecikmeden uygulanması gerektiğini vurguladı.

Kurumlara, kullandıkları PHP altyapılarını kontrol etmeleri ve gerekli güncellemeler için hazırlık yapmaları çağrısında bulunuldu.

GÜVENLİK AÇIKLARINA 9,2 RİSK PUANI VERİLDİ

PHP’de tespit edilen açıkların ciddiyeti, CVSS v4.0 güvenlik açığı değerlendirme ölçeğinde 9,2 olarak açıklandı.

Avrupa Birliği Bilgisayar Acil Durum Müdahale Ekibi CERT-EU, bu düzeydeki açıkların saldırganlara uzaktan zararlı kod çalıştırma imkanı verebileceğini bildirdi.

Bu tür bir güvenlik zafiyetinin, gerekli koşulların oluşması halinde sunucular üzerinde yetkisiz işlemler yapılmasına yol açabileceği ifade edildi.

SİSTEME GİRİŞ YAPMADAN SALDIRI RİSKİ

CERT-EU tarafından yapılan değerlendirmede, güvenlik açıklarının özellikle uzaktan kod çalıştırma riski taşıdığına dikkat çekildi.

Buna göre saldırganların, hedef sistemde önceden oturum açma yetkisine sahip olmadan zararlı kod çalıştırabilmesi ihtimal dahilinde bulunuyor.

Bu durum, internete açık sunucular açısından ciddi bir güvenlik tehdidi oluşturabileceği için kurumların hızlı hareket etmesi istendi.

AB’DEN SİTELERİ GEÇİCİ OLARAK KAPATMA UYARISI

Avrupa Birliği’nin siber güvenlik yetkilileri, PHP açıklarını kapatacak yamaları hemen uygulayamayan kurumlara yönelik dikkat çekici bir tavsiyede bulundu.

CERT-EU, gerekli güncellemeleri derhal gerçekleştiremeyen kuruluşların ilgili internet sitelerini geçici olarak çevrimdışı bırakmayı değerlendirmesi gerektiğini açıkladı.

Bu uyarı, güvenlik açıklarının giderilemediği sistemlerde olası saldırı riskinin sınırlandırılmasını amaçlıyor.

Söz konusu tavsiye bütün internet sitelerinin kapatılması yönünde genel bir karar değil, güncelleme yapamayan kuruluşlara yönelik bir önlem önerisi olarak aktarıldı.

PHP GÜVENLİK GÜNCELLEMESİ SAAT KAÇTA YAYIMLANACAK?

PHP geliştirici ekibi, tespit edilen iki kritik güvenlik açığını kapatacak yamaların yayımlanacağı saati duyurdu.

Açıklamaya göre güvenlik güncellemelerinin 21 Ekim 2026 Çarşamba günü Türkiye saatiyle 17.00’de yayımlanması planlandı.

Geliştirici ekip, hangi PHP sürümlerinin etkilendiğine ilişkin ayrıntılı teknik bilgilerin de yamalarla eş zamanlı paylaşılacağını bildirdi.

WORDPRESS, DRUPAL, JOOMLA VE MAGENTO SİTELERİ GÜNDEMDE

Güvenlik açıklarının geniş bir alanı ilgilendirmesinin nedeni, PHP’nin dünya genelinde yaygın olarak kullanılması.

Siber güvenlik şirketi Huntress, PHP’nin çok sayıda internet platformunun arka planında çalıştığına dikkat çekti.