PHP güvenlik açığı: WordPress siteniz etkilendi mi, ne yapmalı?

Son iki gündür haberlerde "PHP" kelimesini sık görüyorsunuz. Hollanda'da vatandaşların devlet hizmetlerine girdiği DigiD kapandı, Finlandiya'da bazı kamu siteleri geçici olarak kapatıldı, ABD'de FBI ve NSA "yama yapamıyorsanız sitenizi kapatın" uyarısı yaptı. Türkiye'de de Cumhurbaşkanlığı Siber Güvenlik Başkanlığı ulusal çapta tarama başlattı.

Bu yazıda neler olduğunu teknik ayrıntıya boğmadan anlatacağız. Bir tur acentesi olarak sitenizin etkilenip etkilenmediğini nasıl anlayacağınızı, bugün neler yapmanız gerektiğini ve benzer bir olaya bir dahaki sefere nasıl hazırlıklı olabileceğinizi adım adım sıralayacağız.

Önce temel: PHP nedir?

PHP, web sitelerinin arka tarafında çalışan bir programlama dili. Bir ziyaretçi sitenize girdiğinde sayfayı hazırlayan, iletişim formunu e-postaya çeviren, rezervasyonu veritabanına kaydeden kodlar çoğu zaman PHP ile yazılmış durumda.

Kullandığınızı bilmeseniz de büyük ihtimalle bir yerde karşınıza çıkıyor. WordPress, WooCommerce, Joomla, Drupal ve birçok hazır rezervasyon eklentisi PHP ile çalışır. FBI'ın açıklamasına göre dünyadaki web sitelerinin yaklaşık %70'i PHP kullanıyor.

Ne oldu?

PHP ekibi 20–21 Ekim 2026'da iki kritik güvenlik açığı için acil güncelleme yayımladı. Açıklar CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip ediliyor ve birlikte "PHP2Shell" adıyla anılıyor. İkisi de 10 üzerinden 9,2 önem puanı aldı.

Ciddiyetin sebebi şu: Bu açıklar belirli koşullarda saldırganın hiçbir kullanıcı adı ya da şifre bilmeden, internet üzerinden sunucunuzda istediği kodu çalıştırmasına izin verebiliyor. Güvenlik dünyasında buna uzaktan kod çalıştırma (RCE) deniyor. Daha basit söylersek, kapınızın anahtarına gerek kalmadan içeri girilebiliyor.

Qualys'in analizine göre açıklardan biri, sunucunun belleği dolduğunda verilerin yarım kalmasından, diğeri ise bir hata sonrası silinmiş bellek alanlarının bir sonraki ziyaretçinin isteğinde yeniden okunmasından kaynaklanıyor. Araştırmacılar ayrıca sunucu belleğinden şifre, oturum bilgisi ve API anahtarı gibi verilerin sızdırılabildiğini gösterdi.

Anadolu Ajansı'nın aktardığına göre açıklar Ağustos ayında Calif adlı bir güvenlik firması tarafından yapay zekâ yardımıyla bulundu. Düzeltmeler yaklaşık iki ay boyunca sessizce hazırlandı, ancak haber yama çıkmadan bir gün önce basına sızdı.

Neden bu kadar büyük bir olay oldu?

• Ölçek çok büyük: Palo Alto Networks, internete açık 22,6 milyondan fazla sistemin potansiyel olarak savunmasız olduğunu tespit etti.
• Eski sürümler çok yaygın: Qualys'in verilerine göre sürümü bilinen PHP kurulumlarının %71'i desteği bitmiş sürümlerde çalışıyor. Bu sürümlere normal yolla yama gelmiyor.
• Saldırılar başladı: Cloudflare bu açıkları hedefleyen saldırı trafiği gördüğünü bildirdi. Saldırı için kullanılabilecek kodlar da artık ortalıkta.
• Yama hızı düşük: Açıklamadan sonraki ilk 12 saatte, Qualys'in gördüğü 167 milyon kurulumdan yalnızca yaklaşık 199 bini güncellenmişti.

Devletlerin siteleri kapatması da bu yüzden. Yama yapılana kadar en güvenli yol, saldırganın erişebileceği kapıyı tamamen kapatmak. Türkiye'de Siber Güvenlik Başkanlığı kamu kurumlarına acil tedbir bildirimi gönderdi ve özel sektörü de PHP altyapılarını kontrol etmeye çağırdı. e-Devlet'te hizmetleri etkileyen bir sorun tespit edilmediği açıklandı.

Bir tur acentesi için olası etkiler neler?

Açığı kullanan biri sunucunuza girdiğinde yapabilecekleri, sitenizde ne tuttuğunuza bağlı. En sık karşılaşılabilecek durumlar:

• Müşteri verilerinin sızması: Rezervasyon formlarındaki ad, telefon, e-posta ve pasaport bilgileri. Bu durumda KVKK kapsamında bildirim yükümlülüğü doğabilir.
• Şifre ve anahtarların ele geçirilmesi: Veritabanı şifresi, ödeme altyapısının, kanal yöneticisinin ya da e-posta servisinin API anahtarları.
• Sitenize zararlı içerik eklenmesi: Gizli spam sayfaları, ziyaretçiyi başka siteye yönlendiren kodlar. Google bunu fark ederse sitenizi uyarıyla gösterebilir ve aylardır emek verdiğiniz SEO çalışması zarar görebilir.
• Sunucunuzun başka işlerde kullanılması: Kripto madenciliği, spam e-posta gönderimi ya da başka sitelere saldırı.
• Satış kaybı: Önlem olarak siteyi kapatmak zorunda kalırsanız, sezon ortasında bile olsa rezervasyon alamazsınız.

Siteniz etkilenir mi? Önce sürümü kontrol edin

Sitenizin PHP ile çalışıp çalışmadığını ve hangi sürümü kullandığını öğrenmek ilk adım. WordPress kullanıyorsanız yönetim panelinde Araçlar → Site Sağlığı → Bilgi → Sunucu bölümünde PHP sürümünü görebilirsiniz. Hosting panelinizde (cPanel, Plesk vb.) de genellikle "PHP Sürümü" başlığı altında yazar.

Açıkların kapatıldığı sürümler şunlar:

• PHP 8.5 kullanıyorsanız 8.5.12 veya daha yenisi
• PHP 8.4 kullanıyorsanız 8.4.27 veya daha yenisi
• PHP 8.3 kullanıyorsanız 8.3.36 veya daha yenisi
• PHP 8.2 kullanıyorsanız 8.2.35 veya daha yenisi
• PHP 8.1 ve öncesi: Resmî olarak normal güncelleme gelmiyor. Hosting firmanız özel bir yama uygulamadıysa yeni bir sürüme geçmeniz gerekiyor.

Bir not: Bazı Linux dağıtımları yamayı eski sürüm numarasını koruyarak yayınlıyor. Yani numaranın düşük görünmesi sitenizin kesin olarak açık olduğu anlamına gelmeyebilir. Bu yüzden en güvenilir yol, hosting firmanıza doğrudan sormak.

Bugün yapmanız gerekenler

• Hosting firmanıza yazın: "Sunucumdaki PHP, PHP2Shell (CVE-2026-109618 ve CVE-2026-109619) açıklarına karşı güncellendi mi?" diye sorun. "Güvenlik duvarı kuralı ekledik" cevabı tek başına yeterli değil. PHP'nin kendisinin güncellendiğini teyit edin.
• WordPress güncellemesinin bu açığı kapatmadığını bilin: Açık WordPress'te değil, onun altında çalışan PHP'de. Eklenti ya da tema güncellemesi, güvenlik eklentisi veya bakım modu bu açığa karşı korumaz, çünkü saldırı WordPress daha yüklenmeden çalışabiliyor.
• Kendi sunucunuz (VPS) varsa: PHP paketlerini güncelleyin ve ardından PHP-FPM'i ya da Apache'yi mutlaka yeniden başlatın. Yeniden başlatılmayan sunucu eski, açık kodu çalıştırmaya devam eder. Docker kullanıyorsanız yeni imajı çekip container'ları yeniden oluşturun.
• Eski bir sürümdeyseniz: Önce sunucu dışında tam bir yedek alın, sonra PHP 8.3 veya 8.4'e geçin. Ardından ana sayfayı, tur sayfalarını, iletişim formunu ve rezervasyon adımlarını tek tek deneyin.
• Yama hemen yapılamıyorsa: Siteyi Cloudflare gibi bir güvenlik duvarının arkasına almak geçici bir koruma sağlar. Teknik ekibiniz varsa PHP'nin önerdiği geçici ayarları (örneğin session.upload_progress.enabled=0) uygulayabilir. Bunlar tam çözüm değil, sadece zaman kazandırır.

İçeri girilmiş mi? Kontrol edilecek işaretler

Güncellemeyi yaptıktan sonra, açık kapanmadan önce birinin içeri girip girmediğine de bakmak gerekiyor:

• WordPress kullanıcı listesinde tanımadığınız yönetici hesabı var mı?
• Sizin kurmadığınız bir eklenti görünüyor mu?
• Yüklenen görsellerin durduğu wp-content/uploads klasöründe .php uzantılı dosya var mı? Bu klasörde PHP dosyası olmaması gerekir.
• Google'da site:alanadiniz.com araması yaptığınızda sizin yazmadığınız sayfalar çıkıyor mu?
• Google Search Console'daki "Güvenlik sorunları" bölümünde bir uyarı var mı?
• Hosting firmanızdan zararlı yazılım, spam veya aşırı kaynak kullanımı uyarısı geldi mi?

Bunlardan birini görürseniz, hosting firmanızdan sunucuyu taramasını ve şüpheli tarihten önceki temiz bir yedeğe dönmenizi isteyin. Ardından WordPress, hosting, veritabanı, e-posta ve ödeme ya da kanal entegrasyonlarındaki tüm şifreleri ve API anahtarlarını değiştirin. Müşteri verisi sızmış olabilirse KVKK yükümlülükleriniz için bir hukukçuya danışın.

Bundan sonrası için: Kalıcı önlemler

PHP2Shell son açık olmayacak. Asıl soru, bir sonraki olayda ne kadar hazırlıklı olacağınız. Önerdiğimiz alışkanlıklar:

• Desteklenen sürümde kalın: Desteği biten bir yazılım sürümü, yama gelmeyen bir sürüm demektir. Bugün için PHP 8.3 veya 8.4 iyi bir tercih.
• Güncellemeyi bir sorumluya bağlayın: Sitenizin güncellemelerini kim yapıyor, ne sıklıkla yapıyor? Bu sorunun net bir cevabı olmalı. Yönetilen hosting ya da bakım anlaşması bu işi sözleşmeye bağlamanın kolay bir yolu.
• Envanterinizi bilin: Ana siteniz, eski kampanya sayfaları, test kurulumları, unutulmuş alt alan adları… Hepsinin listesi ve hangi sunucuda, hangi sürümde çalıştığı bir yerde yazılı olsun. Saldırganlar en çok unutulmuş siteleri sever.
• Gereksizi kaldırın: Kullanmadığınız eklentileri, temaları ve eski siteleri silin. Her ek parça, açık bulunabilecek bir kapı daha demek.
• Siteyi bir güvenlik duvarının arkasına alın: Cloudflare gibi bir hizmet, yeni bir açık duyurulduğunda yama yapılana kadar ilk savunma hattı olur.
• Şifreleri ve anahtarları ayrı tutun: API anahtarlarını kodun içine yazmayın, her hizmete yalnızca ihtiyacı olan yetkiyi verin ve anahtarları düzenli aralıklarla değiştirin.
• Yedekleri sunucunun dışında tutun ve geri dönmeyi deneyin: Hiç geri yüklenmemiş bir yedek, çalışacağından emin olamayacağınız bir yedektir.
• Takip edin: Uptime takibi, Search Console bildirimleri ve dosya değişikliği uyarıları bir sorunu müşteriniz fark etmeden önce görmenizi sağlar.
• Küçük bir olay planı yazın: Bir sorun çıktığında kimi arayacağınız, siteyi nasıl geçici olarak kapatacağınız ve müşterilere nasıl bilgi vereceğiniz önceden belli olsun.

Daha büyük resim: Açıklar artık daha hızlı bulunuyor

Bu olayın en dikkat çekici yanı, açıkların yapay zekâ yardımıyla bulunmuş olması. Aynı araçlar kötü niyetli kişilerin de elinde. Yani bundan sonra hem açıkların bulunması hem de kullanılmaya başlanması hızlanacak.

Bu, "güncelleme zamanı gelince bakarız" döneminin bittiği anlamına geliyor. Bir tur acentesi için web sitesi artık sadece bir vitrin değil, rezervasyon aldığınız ve müşteri verisi tuttuğunuz bir iş aracı. Onun güvenliği de iş sürekliliğinizin bir parçası.

Biz Monotim'de siteleri, bu tür bir sunucu dili açığından doğrudan etkilenmeyen modern bir altyapıyla kuruyoruz. Ama hiçbir teknoloji sonsuza kadar güvenli değil. Asıl fark, sitenin düzenli takip edilmesi ve bir sorun çıktığında hızla müdahale edilebilmesi.

Sitenizin PHP2Shell'den etkilenip etkilenmediğinden emin değilseniz ya da hosting firmanızdan net bir cevap alamadıysanız, birlikte bakabiliriz.