Almanya'da PHP Açığı Uyarısı: BSI Acil Güncelleme Çağrısı Yaptı
PHP'deki iki kritik açık, saldırganların sunucularda uzaktan zararlı kod çalıştırmasına yol açabilir. BSI, işletmecilere acil güncelleme çağrısı yaptı.
ALMANYA – PHP kullanan sunuculardaki iki kritik güvenlik açığı, saldırganların önceden oturum açmadan uzaktan zararlı kod çalıştırmasına ve internet sitelerinin kontrolünü ele geçirmesine imkân verebilir. Almanya Federal Bilgi Güvenliği Dairesi (BSI), risk seviyesini “3 / Turuncu” olarak sınıflandırarak acil önlem çağrısı yaptı.
PHP; bloglardan haber portallarına, çevrim içi mağazalardan içerik yönetim sistemlerine kadar pek çok internet hizmetinin altyapısında kullanılıyor. Bilişim uzmanlarının tahminlerine göre, PHP tabanlı WordPress dünya genelinde 400 ila 500 milyon internet sitesini çalıştırıyor. Moodle, Joomla! ve Typo3 de PHP kullanan diğer yaygın sistemler arasında.
“PHP2Shell” adıyla anılan açıklar, CVE-2026-109618 ve CVE-2026-109619 numaralarıyla kayda geçti. Saldırganların bu zafiyetleri kullanması, hassas veri tabanlarına ve müşteri bilgilerine erişmelerine ya da ele geçirilen altyapıyı başka siber saldırılarda kullanmalarına yol açabilir.
PHP projesinin geliştiricileri, açıkları gideren güncel sürümleri çarşamba öğleden sonra yayımladı. Heise Security, çalışan saldırı araçlarının saatler içinde, en geç bir gün içinde ortaya çıkabileceği uyarısında bulundu. BSI da güncelleme yüklenene kadar riskli sunucuların internet bağlantısının kesilmesini önerdi.
Bazı üniversiteler, belediyeler ve klinikler, çevrim içi hizmetlerini tedbir amacıyla geçici olarak kapattı. Wikipedia’nın işletmecisi de güvenlik güncellemelerini yükleyeceğini duyuranlar arasında yer aldı. Günlük internet kullanımında akıllı telefon ve bilgisayarlar doğrudan risk altında değil; ancak korunmayan sitelerdeki veri sızıntıları veya çevrim içi hizmet kesintileri kullanıcıları etkileyebilir. Resmî desteği sona ermiş eski PHP sürümlerinin güncellenmesi ya da yalıtılması gerekiyor.