20 Ekim'de PHP'de iki ciddi güvenlik açığının ayrıntıları, düzeltmesi henüz yayımlanmadan internete sızdı. Düzeltme ertesi gün, 21 Ekim'de geldi. Ama arada geçen saatlerde saldırı denemeleri başlamıştı bile.
PHP, WordPress başta olmak üzere pek çok web sitesinin üzerinde çalıştığı programlama dili. Bu yazı teknik ayrıntı için değil. Bir site sahibinin bugün bilmesi gereken tek şey var: siteniz PHP ile çalışıyorsa, sunucudaki PHP güncellendi mi?
Ne oldu?
Açık, sitenizin kodunda değil, PHP'nin kendisinde. Bu yüzden sitenizin WordPress, WooCommerce, Joomla ya da bir yazılımcının size özel yazdığı bir sistem olması fark etmiyor. Sunucuda güncellenmemiş PHP çalışıyorsa site risk altında.
Saldırganın siteye giriş yapması gerekmiyor. Siteye gönderdiği bir istekle sunucuda kendi kodunu çalıştırabiliyor. Açıklardan biri ayrıca sunucunun belleğindeki bilgileri dışarı sızdırabiliyor: yönetim paneli şifreleri, oturum bilgileri, sitenin ödeme sistemi gibi servislerle konuşurken kullandığı anahtarlar.
PHP'nin geliştiricileri iki açığı da en yüksek önem sınıfında, "kritik" olarak değerlendirdi. Cloudflare, düzeltme yayımlanmadan önce bile saldırı denemeleri gördüğünü bildirdi.
Siteniz PHP ile mi çalışıyor?
WordPress ve WooCommerce PHP ile çalışır. Joomla, Drupal, Magento ve birçok hazır yönetim paneli de öyle. Siteniz bir yazılımcı tarafından size özel yazıldıysa, Laravel ya da CodeIgniter gibi PHP tabanlı bir altyapı kullanılmış olabilir.
Emin değilseniz en kısa yol, sitenizi kuran kişiye ya da hosting firmanıza sormak.
Sorulacak üç soru
1. Sitemiz PHP ile mi çalışıyor, sunucudaki PHP sürümü kaç?
2. Bu sürüm, 21 Ekim'de yayımlanan güvenlik güncellemesini içeriyor mu?
Güncel sürümler: 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 ile bunlardan sonrakiler. Örneğin siteniz 8.3 kullanıyorsa, sürüm 8.3.36 ya da daha yeni olmalı. Bazı sunucu sistemleri güncellemeyi sürüm numarasını değiştirmeden uygular. Bu durumda alacağınız cevap "evet, güncelleme uygulandı" olmalı.
3. Sürüm 8.1 ya da daha eskiyse, ne zaman yükseltilecek?
Bu sürümler artık resmî destek almıyor; bu açık için resmî düzeltme de gelmeyecek. Geçici önlemler var ama güncellemenin yerini tutmuyor. Sitenin daha yeni bir PHP sürümüne taşınması gerekir. Bu taşıma bazen sitede küçük uyum düzeltmeleri ister; o yüzden ertelenmeden planlanmalı.
Güncellemeden sonra
Güncelleme kapıyı bugünden itibaren kapatır, ama kapı açıkken bir şey sızıp sızmadığını göstermez. Bu yüzden güncellemeden sonra yönetim paneli şifrelerini ve sitenin bağlı olduğu servislerin (ödeme sistemi, e-posta gönderimi) anahtarlarını yenilemek iyi bir önlemdir.
Siteniz ödeme alıyorsa ya da müşteri bilgisi tutuyorsa bu adım ertelenmemeli.
Kısacası
Sitenizin PHP ile çalışıp çalışmadığını ve sürümünün güncel olup olmadığını bugün öğrenin. Cevabı bilmiyorsanız soracağınız kişi belli: sitenizi kuran kişi ya da hosting firmanız. Üç soru, birkaç dakika.
Sürümünüzü öğrenemediyseniz bize yazın, birlikte bakalım.
Bu yazı 22 Ekim 2026 itibarıyla bilinenlere dayanıyor.