AnswersPublished24 sources
PHP2Shell’in gösterdiği: Kritik açık kaynak yazılımlar için güvenlik bakımı şart
PHP2Shell, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya imkân verebilen ve önem derecesi 9,2 olarak bildirilen iki açıktan oluşuyor. PHP’nin internet sitelerinin yüzde 70’ine kadarında kullanıldığı bildiriliyor; ancak mevcut kaynaklar, 23 Ekim’de 33 milyondan fazla sistemin hâlâ savunmasız olduğu yönünd...
YayımlayanGPT-6 Luna ile düzenlendiGörseller GPT Image 2 ile oluşturuldu
Research answer
Key takeaways
- PHP2Shell, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya imkân verebilen ve önem derecesi 9,2 olarak bildirilen iki açıktan oluşuyor.
- PHP’nin internet sitelerinin yüzde 70’ine kadarında kullanıldığı bildiriliyor; ancak mevcut kaynaklar, 23 Ekim’de 33 milyondan fazla sistemin hâlâ savunmasız olduğu yönündeki özel iddiayı doğrulamıyor.[11]
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 2026 PHP2Shell crisis reveal about PHP security and open-source underfunding, including PHP’s use by an estimated 70%. Article summary: PHP2Shell illustrates a mismatch between the importance of widely deployed open-source software and the capacity to secure, review and update it: critical PHP flaws triggered emergency patching across a technology report. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, click
PHP2Shell, yaygın kullanılan yazılımların güvenliğini sağlamanın ne kadar önemli olduğunu ve bunun için ne kadar çalışma gerektiğini hatırlattı. Ekim 2026’da PHP’de bulunan iki kritik açık için acil yamalar yayımlandı. PHP’nin internet sitelerinin yüzde 70’ine kadarında kullanıldığı bildiriliyor.11 Olay, internetin önemli bir bölümünün dayandığı açık kaynak projelerin yazılımı incelemek, yamaları hazırlamak ve sistemi sürdürülebilir biçimde korumak için yeterli kapasiteye sahip olup olmadığı sorusunu da öne çıkardı.
22
PHP2Shell’de ne oldu?
CVE-2026-109618 ve CVE-2026-109619 olarak izlenen açıklar, kimlik doğrulaması yapmamış bir saldırganın etkilenen PHP sistemlerinde uzaktan kod çalıştırmasına imkân verebilirdi. Her iki açığa da 9,2 önem derecesi verildi.9
17 Bunlar PHP çalışma ortamındaki kusurlardı; bulunmuş olmaları, PHP ile yazılmış her uygulamanın güvensiz olduğu anlamına gelmiyor.
PHP, düzeltmeleri 21 Ekim 2026’da 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleriyle yayımladı.18
27 Calif’in araştırma açıklamasında açıkların keşfi Calif, OpenAI ve Wiz’e atfediliyor.
15 Haberlerde, güvenlik açığının koordineli biçimde duyurulması sürecinde aksaklık yaşandığı da aktarıldı: PHP geliştiricileri, planlanan duyuru öncesinde bilgileri açıkladığı gerekçesiyle Chainguard’ı eleştirdi; ardından proje yamaları planlanandan önce yayımladı.
35
37
PHP’nin yaygın kullanımı, neden acil harekete geçildiğini anlamaya yardımcı oluyor. Haberlerde PHP’nin internet sitelerinin yüzde 70’ine kadarında kullanıldığı belirtiliyor; ancak bu, kullanım yaygınlığına ilişkin bir tahmin. Savunmasız ya da saldırıya uğramış site sayısını göstermiyor.11 Mevcut kaynaklar, EFF’in 23 Ekim itibarıyla 33 milyondan fazla sistemin savunmasız kaldığını tahmin ettiği yönündeki özel iddiayı da doğrulamıyor.
Saldırı girişimi, başarılı ihlal demek değil
Amazon’un 17 Ekim’de, yamalar kamuya açıklanmadan önce bir istismar girişimi tespit ettiği ve daha sonra açıklara yönelik yaygın girişimlerden söz ettiği bildirildi.34 Başka haberlerde milyonlarca denemeden bahsedildi.
6 Ayrı olarak, kurumların açıkları giderirken önlem amacıyla bazı hizmetleri devre dışı bıraktığı aktarıldı. Bunlar arasında Japonya Maliye Bakanlığı ve Rotterdam Limanı’yla bağlantılı hizmetler de yer aldı.
12
Ancak bir istismar girişimi, sistemin ele geçirildiğinin kanıtı değildir. BBC’nin 22 Ekim tarihli haberinde o ana kadar başarılı istismar bildirimi olmadığı belirtilirken, Security Affairs de 23 Ekim’de başarılı istismarın doğrulanmadığını yazdı.9
31 Bu haberler farklı gözlem dönemlerini ya da “istismar” kavramını farklı biçimlerde ele almış olabilir. Buradaki kaynaklar saldırı faaliyetine ilişkin kaygıyı destekliyor; milyonlarca sistemin başarıyla ele geçirildiği sonucunu değil.
Açık kaynak güvenliği için çıkarım: Açığı bulmak yetmez
PHP2Shell, köklü projelerdeki kusurların da bulunabileceğini ve güvenlik araştırmasının değerini gösteriyor. Ancak keşif, sürecin yalnızca bir aşaması. Düzeltmelerin incelenip yayımlanması, sistem yöneticilerinin etkilenen kurulumları belirlemesi ve güncellemeleri devreye alması da gerekiyor. Sovereign Tech, olayı kritik açık kaynak yazılımların güvenliğinde bir finansman açığının göstergesi olarak değerlendirdi.22
Bu nedenle mesele yalnızca kaç güvenlik açığının bulunduğu değil, güvenlik çalışmalarını yürütecek kapasitenin olup olmadığı. Daha fazla açığın keşfedilmesi, bakım ekipleri ve savunma tarafı için daha fazla iş anlamına gelebilir. Ancak bildirilen açık sayısındaki artış tek başına yazılımın daha güvensiz hâle geldiğini ya da artışa yapay zekânın neden olduğunu kanıtlamaz. Bir açığı bulmak; bulguları doğrulayacak, duyuruyu koordine edecek, güvenilir bir düzeltme hazırlayıp yayımlayacak ve kurulmasını sağlayacak insan kaynağını kendiliğinden yaratmaz.
Çıkarılması gereken sonuç, PHP’nin doğası gereği güvensiz olduğu değil. İnternetin geniş bir bölümünde kullanılan yazılımların düzenli güvenlik incelemesine ve bakıma ihtiyaç duyduğu; açıkların daha hızlı keşfedilmesinin de bu çalışmayı daha acil hâle getirdiği.11
22
PHP kullanan kurumlar ne yapmalı?
PHP çalıştıran kurumlar için uygulanabilir adımlar şunlar:
- İnternete açık kurulumları envantere alın. PHP kullanan hizmetleri belirleyin ve çalıştırdıkları sürümleri kaydedin.
- Uygun düzeltmeyi yükleyin. Kullanılan PHP dalına uygun sürüme geçin. Çalışma ortamı bir satıcı tarafından paketleniyor ya da bakımı yapılıyorsa doğrulanmış satıcı yönlendirmelerini izleyin. PHP, düzeltilmiş sürümleri 21 Ekim’de yayımladı.
18
27
- Çalışan hizmeti doğrulayın. Güncellenen çalışma ortamının devrede olduğunu kontrol edin. Yayımlanmış operasyonel rehber, güncellemeden sonra PHP işçilerinin (workers) yeniden başlatılmasını da öneriyor.
32
- Olayı doğru ifadelerle anlatın. Etkilenen sistemleri, saldırı girişimlerini, doğrulanmış ihlalleri ve doğrulanmamış iddiaları birbirinden ayırın. Önlem amacıyla hizmeti kapatmak ya da saldırı trafiği görmek, sistemin ele geçirildiğini kanıtlamaz.
PHP2Shell’in kalıcı dersi, güvenlik zincirinin her halkasının önemli olduğu: açığın keşfi, inceleme, koordineli duyuru, yamanın yayımlanması ve sistemlere uygulanması. Bu zincirin arkasındaki bakıma kaynak ayırmak, kritik açık kaynak altyapısını korumanın isteğe bağlı bir eklentisi değil; gerekli bir parçası.22
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell’in gösterdiği: Kritik açık kaynak yazılımlar için güvenlik bakımı şart"?
PHP2Shell, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya imkân verebilen ve önem derecesi 9,2 olarak bildirilen iki açıktan oluşuyor.
What are the key points to validate first?
PHP2Shell, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya imkân verebilen ve önem derecesi 9,2 olarak bildirilen iki açıktan oluşuyor. PHP’nin internet sitelerinin yüzde 70’ine kadarında kullanıldığı bildiriliyor; ancak mevcut kaynaklar, 23 Ekim’de 33 milyondan fazla sistemin hâlâ savunmasız olduğu yönündeki özel iddiayı doğrulamıyor.[11]