PHP Krizi: İnternetin Yarısı Bir Günde “Acil Bakımda” Yazısına Döndü

PHP Krizi: İnternetin Yarısı Bir Günde “Acil Bakımda” Yazısına Döndü

21 Ekim 2026… Sabah kahveni yudumlarken X’i açıyorsun, herkes “PHP”, “php2shell”, “site kapandı” diye bağırıyor. “Ne oluyor ya?” diyorsun. Cevap kısa ve acı: İnternetin yüzde 70’ini ayakta tutan dilde, kapıyı kilitsiz bırakan iki delik bulundu. Ve delikler o kadar büyük ki, bazı ülkeler “durun, her şeyi kapatın” dedi.

PHP Nedir, Neden Bu Kadar Önemli?

PHP’yi çoğu insan bilmez. Ama sen her gün kullanırsın. WordPress blogu mu açtın? PHP. Küçük esnaf sitesi mi? PHP. Hükümetin “vatandaşlık işlemleri” sayfası mı? Büyük ihtimalle yine PHP. Wikipedia, eski Facebook, bir sürü e-ticaret sitesi… Liste uzun. Kısaca PHP, web sitelerinin arka planda “sayfayı hazırla, kullanıcıya gönder” diyen sessiz işçisi. Sessizdi… ta ki bugüne kadar.

İki Açık, Bir Felaket: CVE-2026-109618 ve CVE-2026-109619

İki kritik açık çıktı. İkisinin de CVSS skoru 9.2/10. “Kritik”in de üstü diyebilirsin.

Birincisi (CVE-2026-109618): PHP bir istek sırasında belleği bitirdiğinde (out-of-memory) yarım kalan işleri “tamamlandı” sanıp temizlemeye çalışıyor. Sonuç? Bellek bozuluyor, saldırgan kod çalıştırabiliyor.

İkincisi (CVE-2026-109619): Bir ziyaretçinin isteği bittikten sonra bazı “kalıntılar” bellekte kalıyor. Aynı işçi (worker) sonraki isteği alınca o eski kalıntılara takılıyor. Use-after-free denen klasik ama çok tehlikeli durum. Yine kod çalıştırma.

En korkuncu şu: Özellikle Apache + mod_php kurulumlarında, sitenin kendi kodu (WordPress güvenlik eklentisi, login ekranı falan) daha uyanmadan saldırı gerçekleşebiliyor. Yani “ön kapı kilitsiz, zil bile çalmadan içeri giriyorlar” gibi bir şey.

Araştırmacılar buna “php2shell” demeye başladı. İsim biraz abartılı ama durumu iyi özetliyor: PHP’den direkt shell’e (komut satırına) atlamak.

Nasıl Bulundu? (AI’nin İşi Karışıyor)

Hikâye 2024’e kadar gidiyor. PHP’nin ilk dış güvenlik denetiminde bir ipucu yakalanmış ama “tam sömürülebilir değil” denip kenara bırakılmış. 2026 yazında işler değişti. Calif firması (OpenAI’nin Patch the Planet programı sayesinde), Wiz (Google’ın güvenlik şirketi) ve OpenAI’nin kendi modelleri bağımsız olarak aynı kök sorunu buldu. AI’ler “bakın burada bir şey var” deyince insanlar “ulan gerçekten var” dediler.

Ağustos’ta raporlandı, Ekim’e kadar yama üzerinde çalışıldı. Çünkü düzeltmek kolay değildi: Performansı bozmadan, eski eklentileri kırmadan, uyumluluğu koruyarak çözmek gerekiyordu. PHP ekibi “bu sefer düzgün yapalım” diye ter döktü.

Sızıntı, Panik ve “Herkesi Offline’a Alın” Komutu

İşler 20 Ekim’de bozuldu. CVE numaraları internette dolaşmaya başladı (yanlış skor ve yanlış saatle). PHP ekibi panikle yayımlamayı bir gün öne çekti. Bir güvenlik firması yanlışlıkla PoC videosu yayınladı, sildi ama video çoktan kopyalanmıştı. Cloudflare “saldırı denemeleri başladı” dedi. Sansec “yama çıktıktan 15 dakika sonra kitlesel saldırı bekliyoruz” uyarısı yaptı.

Sonra hükümetler devreye girdi:

• Finlandiya devlet sitelerini kapattı.
• Fransa İçişleri Bakanlığı “geçici olarak offline” dedi.
• Hollanda, Almanya, Belçika… Liste uzadı.
• ABD NSA ve İngiltere NCSC “yama yapamıyorsanız sistemi kapatın” tavsiyesi verdi.
• AB CERT-EU “internetle bağlantısını kesin” dedi.

Bazı hosting firmaları ve siteler (Wordfence bile bir ara down oldu) bakım moduna geçti. X’te “benim blogum da mı kapandı?” diye ağlayanlar, “eski PHP 7.4 kullananlar mahvoldu” diyenler, “hâlâ .NET 8 kullanıyorsanız yarın sıra sizde” diye dalga geçenler bir araya geldi. Klasik internet kaosu.

Kimler Risk Altında?

Resmi yama sadece PHP 8.2 ve üzeri için çıktı:

• 8.5.12
• 8.4.27
• 8.3.36
• 8.2.35

Daha eski sürümler (8.1 ve altı) resmi destek almıyor. Kaynak kod yaması yayınlandı, bazı Linux dağıtımları kendi backport’larını yaptı ama milyonlarca eski site hâlâ risk altında. Tahminler 1 milyondan 20 milyona kadar değişiyor. Shared hosting’lerde bir sunucu yüzlerce siteyi etkiliyor.

Normal kullanıcı olarak senin telefonuna, bilgisayarına bir şey olmuyor. Risk, site sahiplerinde ve hosting firmalarında. Ama senin favori e-ticaret siten veya belediye sayfan bir anda “bakımdayız” yazarsa şaşırma.

Ne Yapmalı?

Site sahibiysen:

1. Hemen hosting firmana sor: “PHP güncellendi mi?”
2. Güncellenmediyse siteyi geçici kapatmak bile bir seçenek (NSA öyle diyor).
3. Geçici önlem olarak session.upload_progress.enabled=0 yapılabilir ama bu sadece kısmi koruma. Asıl çözüm yama.

Hosting firmaları ve büyük kurumlar zaten yarış halinde. Küçük blogcular için ise “Allah’a emanet” dönemi biraz uzayabilir.

Biraz da Gülümseyelim

İnternetin yarısı “PHP’nin hatırına” bir günlüğüne tatile çıktı. AI’ler açığı buldu, insanlar panikledi, hükümetler fişi çekti. PHP ekibi ise “bakın biz de profesyonelleşiyoruz, sponsor olun lütfen” diye mesaj yayınladı. Haklılar aslında. Dünyanın yüzde 70’ini taşıyan bir dil hâlâ gönüllü + az sayıda maaşlı insanla ayakta duruyor.

Sonuç? İnternet yine dayandı. Ama bu seferki uyarı net: Eski yazılım biriktirmek, kilitleri pas tutmuş kapı bırakmak gibi. Bir gün biri “acaba açılır mı?” diye denerse… işte o gün bugün oldu.

Şimdi kahveni bitir, X’i kapat ve eğer bir siten varsa hosting paneline bir bak. Belki “güncelleme mevcut” yazıyordur. Yoksa… “Acil bakım” tabelasını hazırla.