PHP Güvenlik Açığı 2026: Web Sitenizi Korumak İçin Ne Yapmalısınız?
PHP’nin kritik güvenlik açıkları için yayımlanan güncellemeleri, WordPress PHP sürümü kontrolünü ve işletmelerin hosting sağlayıcılarından istemesi gereken bilgileri açıklıyoruz.
PHP tabanlı bir web siteniz varsa, hosting sağlayıcınızın son güvenlik güncellemelerini uyguladığını kontrol edin. PHP ekibi, 21 Ekim 2026’da uzaktan kod çalıştırılmasına yol açabilen iki kritik güvenlik açığı için güncelleme yayımladı. Duyuruda belirtilen düzeltilmiş sürümler PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12.
Şirketinizin web sitesi, e-ticaret mağazası veya özel yazılımı PHP kullanıyorsa konu yalnız yazılımcıları ilgilendirmiyor. Site sahibi olarak sizin de kullanılan sürümü ve güvenlik yamasının durumunu öğrenmeniz gerekiyor.
Bu rehber, 22 Ekim 2026 itibarıyla yayımlanmış resmî bilgiler esas alınarak hazırlanmıştır.
PHP güvenlik açığı nedir?
PHP, web sunucularında çalışan bir programlama dilidir. Açıklanan iki zafiyet, belirli koşullarda saldırganın kullanıcı hesabıyla giriş yapmadan sunucuda kod çalıştırmasına imkân verebilir.
Zafiyetlerin kayıt numaraları şunlardır:
- CVE-2026-109618: Bellek yetersizliği sırasında oluşabilen bellek bozulmasıyla ilgilidir.
- CVE-2026-109619: Serbest bırakılmış belleğe bağlı iç durum bilgisinin sonraki isteklere taşınmasıyla ilgilidir.
Bunlar PHP projesinin resmî güvenlik kayıtlarında kritik olarak sınıflandırılmıştır. Bir sistemin etkilenebilir olması, o sisteme saldırıldığının veya verilerinin çalındığının kanıtı değildir.
Hangi web siteleri kontrol edilmeli?
PHP’nin resmî duyurusu, web isteklerini işleyen PHP kurulumlarını kapsıyor. PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed kullanılan ortamlar bu kapsamda değerlendiriliyor. Duyuruda en yüksek riskin mod_php için görüldüğü belirtiliyor.
Site sahibi açısından ilk soru şu olmalı:
“Web sitem PHP kullanıyor mu; kullanıyorsa hangi sürüm ve güvenlik paketiyle çalışıyor?”
WordPress kullanıyorsanız bu kontrolü yönetim panelinden başlatabilirsiniz. Başka bir hazır sistem veya özel yazılım kullanıyorsanız hosting sağlayıcınızdan ya da yazılımı yöneten ekipten bilgi isteyin.
Hangi PHP sürümlerine güncelleme yapılmalı?
21 Ekim 2026 tarihli duyuruda aşağıdaki düzeltmeler yayımlandı:
| Kullanılan PHP serisi | İlgili güvenlik düzeltmesini içeren sürüm |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Bu tablo ilgili duyurunun yayımlandığı tarihteki düzeltmeleri gösterir. İşlem sırasında daha yeni güvenlik sürümleri bulunabilir.
Bazı Linux dağıtımları, düzeltmeleri mevcut paketlerine geriye dönük olarak uygulayabilir. Bu nedenle yalnız ekranda görünen PHP numarasına bakmak yeterli olmayabilir; sağlayıcınızdan iki CVE için yamanın uygulanıp uygulanmadığını teyit edin. PHP 8.1 ve daha eski seriler için PHP projesinin standart desteği sona ermiştir; sağlayıcı desteği veya desteklenen sürüme geçiş değerlendirilmelidir.
WordPress PHP sürümü nasıl öğrenilir?
WordPress yönetim panelinde şu yolu izleyin:
Araçlar → Site Sağlığı → Bilgi → Sunucu → PHP sürümü
Burada WordPress sitenizin kullandığı PHP sürümünü görebilirsiniz. Hosting panelindeki sürüm ve yama bilgilerini de sağlayıcınızla karşılaştırın.
WordPress güncellemesi ile PHP güncellemesi aynı işlem değildir. WordPress, tema ve eklentileri güncellemiş olmanız, sunucudaki PHP güvenlik yamasının da uygulandığını göstermez. PHP tarafını ayrıca teyit edin.
PHP güncellemesi nasıl güvenli yapılır?
Acil güvenlik güncellemesini geciktirmeden, sitenin çalışmasını koruyacak bir işlem planı oluşturun:
- Dosyaların ve veritabanının güncel yedeğini alın. Yedeğin geri yüklenebilir olduğundan emin olun.
- WordPress, tema ve eklenti uyumluluğunu kontrol edin. Özellikle eski veya özel geliştirilmiş bileşenleri belirleyin.
- Mümkünse test ortamında deneyin. Sürüm serisi değişecekse uyumluluk kontrolüne özellikle dikkat edin.
- Hosting sağlayıcınızla güncellemeyi uygulayın. Yönetilen hosting kullanıyorsanız işlemi sağlayıcının yürütmesi gerekebilir.
WordPress’in resmî PHP güncelleme rehberi de yedekleme, bileşenlerin güncellenmesi ve uyumluluk kontrolünü öneriyor.
Güncellemeden sonra ana sayfayla yetinmeyin. İletişim formunu, yönetici girişini, dosya yüklemeyi ve varsa sepet, ödeme, sipariş ve üyelik işlemlerini kontrol edin.
Hosting firmasına ne yazmalısınız?
Aşağıdaki mesajı kendi site adresinizle gönderebilirsiniz:
“Merhaba, web sitemizin kullandığı PHP paketinde CVE-2026-109618 ve CVE-2026-109619 güvenlik düzeltmeleri uygulanmış mıdır? Kullanılan PHP sürümünü, varsa dağıtımınıza ait yamalı paket bilgisini ve gereken güncelleme işlemini paylaşmanızı rica ederim.”
Bu talep, yalnız “PHP güncel mi?” sorusundan daha açık bir kontrol sağlar.
Güvenlik eklentisi veya firewall yeterli mi?
PHP güvenlik güncellemesinin uygulandığını ayrıca doğrulamalısınız. PHP ekibi, geçici önlemlerin belirli saldırı yollarını azaltabileceğini; ancak tam çözüm sağlamadığını açıklıyor. Yalnız bir güvenlik eklentisinin kurulu olması veya sitenin normal açılması, bu açıkların giderildiğini göstermez.
Sunucu ayarlarını internetten bulunan genel önerilerle rastgele değiştirmeyin. Kullanılan uygulama ve sunucu yapısına uygun işlemi hosting sağlayıcınızla planlayın.
İşletmeler için yapılacak ilk iş
Web sitenizden sorumlu kişiyi belirleyin ve kullanılan PHP sürümü, uygulanan güvenlik yaması ve işlem sonrası kontroller için yazılı teyit alın.
Web sitesi, hosting ve şirket içi BT sorumluluklarının farklı ekiplerde olması hâlinde bu kontrolün kimin tarafından yürütüleceğini netleştirin. İşletmenizin teknik destek ihtiyaçları için Kurumsal IT Destek sayfamızı inceleyebilir veya iletişim kanallarımızdan talebinizi paylaşabilirsiniz.