İnternetin görünmeyen altyapısında ciddi bir güvenlik alarmı verildi. 21 Ekim 2026’da duyurulan ve PHP2Shell adıyla anılan iki kritik PHP açığı, internet sitelerinin sunucu tarafında kötüye kullanılabilecek riskler oluşturuyor. Özellikle WordPress kullananların aklındaki soru aynı: “Benim sitem tehlikede mi?” Yanıt, WordPress kullanıp kullanmadığınızdan çok, sitenizin hangi PHP altyapısında ve nasıl barındırıldığına bağlı.
Önemli ayrım: Açık doğrudan WordPress çekirdeğinde değil, WordPress’in de üzerinde çalıştığı PHP yazılımında bulundu. Bazı barındırma şirketleri düzeltmeleri uyguladığını duyururken, kendi sunucusunu yöneten site sahiplerinin güncellemelerini doğrulaması gerekiyor.
“Kara Ekim” alarmının arkasında ne var?
21 Ekim’de kamuoyuna açıklanan CVE-2026-109618 ve CVE-2026-109619, PHP’nin bellek yönetimiyle ilişkili iki kritik güvenlik açığı. Araştırma ve duyurularda birlikte PHP2Shell adı kullanılıyor. Google Cloud’un paylaştığı bilgilere göre her iki açık da CVSS ölçeğinde 9,2 kritik önem puanına sahip.
Basitçe anlatmak gerekirse: Bir web sunucusu savunmasız PHP sürümünü kullanıyorsa, belirli koşullarda sisteme giriş yapmamış bir saldırganın özel hazırlanmış isteklerle sunucuda yetkisiz kod çalıştırması veya bellekteki verilere erişmesi mümkün olabilir. Bu, her savunmasız sunucunun ele geçirildiği anlamına gelmez; ancak olası etkinin ağırlığı nedeniyle güncelleme önceliği çok yüksektir.
Yapay zekâ bu keşifte nasıl rol oynadı?
Olayı daha ilginç kılan noktalardan biri araştırma süreci. Google Cloud ve Wiz Research’ün 21 Ekim tarihli açıklamalarına göre güvenlik ekibi, PHP’deki kusurların bulunması, test edilmesi ve yamaların doğrulanması süreçlerinde yapay zekâ modellerinden yararlandı. Google DeepMind’ın Gemini 4 Argon modeli de bu çalışmada rol oynadı. Ancak güvenlik açıklarını tek başına bir yapay zekânın keşfettiğini söylemek, araştırma ekibinin ve koordineli güvenlik sürecinin katkısını eksik anlatır.
WordPress siteleri gerçekten risk altında mı?
Potansiyel olarak evet; ama bütün WordPress siteleri için aynı durum geçerli değil. WordPress PHP ile çalıştığından, savunmasız ve gerekli korumaları uygulanmamış bir PHP sunucusunda çalışan WordPress sitesi bu güvenlik sorunlarından etkilenebilir. Bununla birlikte bir sitenin WordPress kullanması, o sitenin otomatik olarak açık taşıdığı veya saldırıya uğradığı anlamına gelmez.
- WordPress.com’da barındırılan siteler: Platform, ilk iki açık için korumanın bütün barındırılan sitelere uygulandığını açıklıyor.
- Başka bir hosting şirketindeki WordPress siteleri: PHP yamalarının uygulanıp uygulanmadığı hizmet sağlayıcıdan doğrulanmalı.
- Kendi VPS veya sunucusunu yönetenler: PHP sürümü, dağıtım yamaları ve sunucu yapılandırması doğrudan kontrol edilmeli.
- Yalnızca Jetpack bağlayan siteler: Jetpack bağlantısı, WordPress.com barındırma korumasının otomatik olarak o sunucuda bulunduğu anlamına gelmiyor.
WordPress.com ne açıkladı?
WordPress.com, 21 Ekim 2026 tarihli resmî duyurusunda CVE-2026-109618 ve CVE-2026-109619 için platformunda barındırdığı tüm sitelerin korunduğunu belirtti. Açıklama, eklenti kullanan siteleri ve WooCommerce mağazalarını da kapsıyor. Şirket, bu iki açık nedeniyle kullanıcıların PHP sürümünü elle değiştirmesine, yeni bir güvenlik eklentisi kurmasına veya sitesini çevrimdışı bırakmasına gerek olmadığını söylüyor.
Burada önemli bir ayrıntı var: Yönetilen barındırma hizmetlerinde bir güvenlik yaması altyapı düzeyinde uygulanmış olabilir; bu nedenle yönetim ekranında görünen PHP sürümü tek başına korumanın olup olmadığını kesin olarak göstermez. WordPress.com’un açıklaması, kendi barındırması dışındaki her WordPress sitesi için geçerli değildir.
Hangi PHP sürümleri güncellendi?
PHP ekibi, ilk iki kritik açık için desteklenen sürüm dallarında güvenlik düzeltmeleri yayımladı:
| PHP sürüm ailesi | İlk düzeltilmiş sürüm |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
PHP 8.1 ve daha eski sürümler, ana PHP projesinin normal güvenlik desteği dışında. Bu sürümleri kullananların desteklenen bir dala geçmesi veya barındırma sağlayıcısının güvenlik düzeltmelerini ayrıca sunduğunu doğrulaması gerekiyor.
23 Ekim’de üçüncü bir PHP açığı daha duyuruldu
Haberin önemli bir güncellemesi de var. Kanada Siber Güvenlik Merkezi’nin 23 Ekim’de yenilediği uyarı, CVE-2026-115560 numaralı farklı bir uzaktan kod çalıştırma açığına dikkat çekiyor. Bu üçüncü sorun, 21 Ekim’deki ilk iki yamayla giderilmiyor; ancak ortaya çıkması için alışılmadık PHP yapılandırmaları ve uygulama davranışlarının bir arada bulunması gerekiyor.
Dolayısıyla ilk iki güvenlik açığı için yayımlanan “korunuyoruz” açıklamasını, bu üçüncü açığın da her ortamda giderildiği şeklinde yorumlamamak gerekiyor. Kendi sunucusunu yönetenler, bu yeni CVE için sağlayıcısının ayrı güvenlik duyurularını izlemeli. Yapılandırma değişiklikleri, uzman veya hosting sağlayıcısı kontrolünde yapılmalı.
WordPress site sahipleri şimdi ne yapmalı?
- Barındırma modelinizi öğrenin. Siteniz WordPress.com altyapısında mı, başka bir hosting firmasında mı, yoksa kendi sunucunuzda mı çalışıyor?
- PHP sürümünü kontrol edin. WordPress yönetim panelindeki Araçlar → Site Sağlığı → Bilgiler → Sunucu alanı başlangıç noktasıdır. Ancak sürüm numarasını sağlayıcının uyguladığı yamalarla birlikte değerlendirin.
- Hosting sağlayıcısından teyit alın. Özellikle CVE-2026-109618 ve CVE-2026-109619 için yamaların dağıtılıp dağıtılmadığını sorun; üçüncü CVE için de ayrı durumu öğrenin.
- Yedeklerinizi doğrulayın. Güncelleme veya altyapı değişikliği öncesinde geri yüklenebilir bir yedek bulunduğundan emin olun.
- WordPress, tema ve eklentileri güncel tutun. Bunlar PHP güvenlik yamasının yerine geçmez; ancak sitenin genel saldırı yüzeyini azaltır.
- Olağandışı etkinliklere dikkat edin. Beklenmedik yönetici hesapları, şüpheli dosyalar veya sunucu günlüklerindeki anormal hareketleri hosting ekibine bildirin.
Sık sorulan sorular
WordPress’in kendisi mi hacklendi?
Hayır. Söz konusu temel sorunlar WordPress çekirdeğinde değil, PHP çalışma ortamında bulundu. Açığın varlığı bütün WordPress sitelerinin ele geçirildiği anlamına gelmez.
Sadece WordPress eklentilerini güncellemek yeterli mi?
Hayır. PHP kaynaklı bir güvenlik açığını gidermek için PHP altyapısına güvenlik düzeltmesinin uygulanması gerekir. Eklenti güncellemeleri bu işlemin yerine geçmez.
WordPress.com kullanıyorsam bir işlem yapmalı mıyım?
WordPress.com, ilk iki kritik açık için sitelerinin korunduğunu ve kullanıcıların bu sorunlar nedeniyle ek işlem yapmasına gerek olmadığını bildiriyor. Üçüncü açık hakkındaki gelişmeler ise ayrı takip edilmeli.
Sonuç: Panik değil, doğru kontrol zamanı
“Kara Ekim” ifadesi, bu haberde Ekim 2026’daki güvenlik gündemini anlatmak için kullanılan editoryal bir başlık. Gelişmelerin asıl önemi, milyonlarca internet sitesinin kullandığı temel bir yazılımın güvenliğinin doğrudan web yayıncılarını ilgilendirmesi. Yönetilen ve yamalanmış altyapılarda risk farklı; güncellemesi eksik sunucularda ise önlem almak acil.
Editör notu — 24 Ekim 2026: Bu içerik 21–23 Ekim tarihli resmî açıklamalar temel alınarak hazırlandı. Güvenlik durumu ve ek yamalar değişebileceği için site sahipleri kendi hizmet sağlayıcılarının en güncel duyurularını da kontrol etmelidir.
Kaynaklar
- PHP Project — 21 ve 23 Ekim 2026 güvenlik duyuruları.
- WordPress.com Destek — PHP2Shell güvenlik güncellemesi ve WordPress.com koruması, 21 Ekim 2026.
- Google Cloud — Kritik PHP açıklarına ve yapay zekâ destekli araştırmaya ilişkin açıklama, 21 Ekim 2026.
- Kanada Siber Güvenlik Merkezi — Güvenlik uyarısı AL26-026, 23 Ekim 2026 güncellemesi.
Bir yanıt yazın