PHP ve Node.js Güvenlik Alarmı: Neler Oldu, Neler Yapmalıyız?

Son günlerde PHP ve Node.js ekosistemlerinde yayımlanan güvenlik duyuruları, dünya genelinde yazılım geliştiricileri ve sistem yöneticilerini acil güncelleme sürecine soktu. Web sitelerinden kurumsal uygulamalara kadar geniş bir alanı ilgilendiren bu gelişmeler, kullandığımız altyapıların güvenliğini yeniden gündeme taşıdı.

Burada iki ayrı güvenlik olayı söz konusu. PHP tarafında “PHP2Shell” olarak adlandırılan iki kritik uzaktan kod çalıştırma açığı, Node.js tarafında ise Brotli, DNS, TLS ve diğer bileşenleri ilgilendiren bir dizi zafiyet bulunuyor. Her iki proje de 21 Ekim 2026’da güvenlik güncellemeleri yayımladı. Node.js duyurusundaki en yüksek önem derecesi resmî olarak “yüksek”; PHP’deki iki açık ise CVSS 4.0 ölçeğinde 9,2 puanla değerlendiriliyor.

Bu olayların ortak mesajı açık: Uygulama kodumuzda hata bulunmasa bile, uygulamayı çalıştıran altyapıdaki bir zafiyet bütün sistemi riske atabilir.

Nasıl başladı?

PHP tarafındaki krizin merkezinde CVE-2026-109618 ve CVE-2026-109619 bulunuyor. İlk açık, bellek yetersizliği sırasında yarım kalan iç veri yapılarının hatalı işlenmesiyle; ikincisi ise serbest bırakılmış belleğe işaret eden durum bilgisinin sonraki isteğe taşınmasıyla ilişkili. Belirli koşullarda bu hatalar, kimlik doğrulaması yapmamış bir saldırganın sunucuda kod çalıştırmasına olanak tanıyabiliyor.

Aslında sorun bir gecede ortaya çıkmadı. PHP Foundation’ın açıklamasına göre bellek yetersizliğiyle ilgili problemin ilk işaretleri 2024’te görülmüştü. Ancak somut saldırı yollarının o dönemde gösterilememesi, çözüm seçeneklerinin uyumluluk sorunları yaratması ve sınırlı mühendislik kaynakları nedeniyle düzeltme süreci uzadı. Ağustos 2026’da araştırmacıların uzaktan kod çalıştırmayı göstermesi, sorunun gerçek boyutunu ortaya koydu.

20 Ekim’de zafiyet kimliklerinin sosyal medyada dolaşmaya başlaması, planlanan açıklama takvimini değiştirdi. PHP ekibi güvenlik sürümünü bir gün öne çekerek 21 Ekim’de yayımladı.

Aynı gün Node.js de on güvenlik açığını gideren sürümlerini duyurdu. Özellikle CVE-2026-111497, Node.js ile gelen Brotli çözücüsünde sınır dışı bellek yazmasına yol açıyor. Uygulamanın saldırgan tarafından sağlanan Brotli verisini açması durumunda süreç çökmesi, bellek bilgilerinin açığa çıkması veya uzaktan kod çalıştırma riski doğabiliyor. Dolayısıyla Node.js kullanan her uygulamanın aynı biçimde sömürülebileceği varsayımı doğru değil; uygulamanın veri işleme yolları da belirleyici.

Yapay zekanın ilerleyen dönemlerde güvenlikteki rolü

Bu olaylar, yapay zekânın güvenlik araştırmalarında giderek daha fazla rol aldığını gösteriyor. PHP Foundation, yapay zekâ araçlarından güvenlik taraması, rapor doğrulama ve ortak kök nedene sahip bulguları gruplandırma gibi işlerde yararlandığını açıklıyor. Node.js ekibi de Brotli açığının bildiriminde OpenAI Codex Security araştırmacılarını kredilendiriyor.

Önümüzdeki döneme ilişkin beklentim, yapay zekânın güvenlik ekiplerinin günlük işlerine daha fazla yerleşmesi. Kod incelemelerinde şüpheli veri akışlarını belirlemek, büyük log kümelerinde anormallik aramak ve düzeltme önerilerini test etmek daha hızlı yapılabilecek.

Ancak bu hız saldırganlar için de geçerli. Unit 42, PHP açıklarından yararlanan saldırılardan sonraki faaliyetlerde yapay zekâ ajanı kullanımına işaret eden davranışlar gözlemlediğini bildiriyor. Bu değerlendirme, saldırıların her aşamasının tamamen otonom yürütüldüğünün kanıtı olarak okunmamalı; yine de savunma ekiplerinin karşısındaki otomasyon düzeyinin arttığını gösteriyor.

Bu nedenle gelecekteki temel ihtiyaç, daha fazla bulguyu güvenilir biçimde değerlendirebilmek olacak. Yapay zekânın ürettiği raporların doğrulanması, önerilen yamaların test edilmesi ve üretim ortamına uygunluğunun incelenmesi insan uzmanlığı gerektirmeye devam edecek.

Ne gibi etkileri oldu?

PHP’nin ortak kullanılan bir altyapı olması, riski tek bir ürünün veya sektörün sınırlarının dışına taşıdı. Web sunucuları ve içerik yönetim sistemlerinin arkasındaki PHP çalışma zamanı, geniş çaplı bir müdahalenin odağına yerleşti. Cloudflare, açıklama öncesinde WAF korumaları devreye aldığını ve müşterilerini hedefleyen saldırı trafiği gözlemlediğini duyurdu.

Etki yalnızca olası saldırılarla sınırlı kalmadı. Kurumlar bakım pencereleri açmak, sürüm uyumluluğunu kontrol etmek ve güncelleme sonrası hizmetlerini doğrulamak zorunda kaldı. Bazı hizmetlerde erişimin tedbir amacıyla durdurulması da gündeme geldi. Unit 42, en az bir Avrupa hükümetinin web sitesini önlem olarak çevrimdışı bıraktığını aktarıyor.

Başarılı bir saldırının sonuçları ise daha ağır olabilir: Sunucu üzerindeki verilere erişim, uygulama sırlarının çalınması, içeriklerin değiştirilmesi ve başka sistemlere ilerlenmesi bunlar arasında. Unit 42, gözlemlediği bir olayda parola özetlerine ve çok faktörlü kimlik doğrulama sırlarına erişildiğini bildiriyor.

Bununla birlikte, risk altındaki sistem sayısı, saldırı girişimi sayısı ve başarıyla ele geçirilen sistem sayısı farklı ölçümlerdir. Bir sitenin güncelleme için kapatılması da tek başına saldırıya uğradığı anlamına gelmez.

Türkiye’de alınan önlemler

Türkiye’de Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, PHP zafiyetlerine karşı ulusal ölçekte önleyici çalışmalar başlattı. TRT Haber’in aktardığı açıklamaya göre risklerin erken tespiti amacıyla güvenlik taramaları devreye alındı; SOME İletişim Platformu üzerinden kurumlara ve kritik altyapılara acil güvenlik duyuruları iletildi.

Kamu kurumları ve özel sektör kuruluşlarından internete açık sistemlerini gözden geçirmeleri, güvenlik güncellemelerini hızla uygulamaları ve ihtiyaç duyulmayan dış erişimleri sınırlandırmaları istendi.

Bu açıklamalar, ulusal düzeyde koordinasyon ve uyarı mekanizmalarının işletildiğini gösteriyor. Ancak her kurumun sisteminin güncellendiği veya bütün risklerin giderildiği sonucunu çıkarmak mümkün değil. Her kuruluşun kendi altyapısını ve hizmet aldığı sağlayıcıları ayrıca doğrulaması gerekiyor.

Neler yapabiliriz?

Önce kullanılan çalışma zamanlarını belirleyin

Sunuculardaki ilk kontrol için şu komutlardan yararlanılabilir:

php -v
php --ini
node --version

Ancak terminalde görünen sürüm, web uygulamasının kullandığı sürümle aynı olmayabilir. PHP-FPM havuzları, Apache modülleri, konteynerler, arka plan servisleri ve CI/CD ortamları ayrı ayrı kontrol edilmelidir.

Yalnızca üretim sunucusuna bakmak da yeterli değildir. Eski bir Docker imajı veya dağıtım şablonu, sonraki yayında zafiyetli sürümü yeniden devreye sokabilir.

PHP’yi yamalı sürüme yükseltin

İki ana PHP açığı için yayımlanan düzeltme sürümleri şunlar:

Destek dışı sürümler kullanılıyorsa desteklenen bir dala geçiş veya sağlayıcının doğruladığı geri taşınmış güvenlik yaması değerlendirilmelidir. Dağıtım paketlerinde düzeltme eski sürüm numarasına uygulanmış olabileceğinden, paket sağlayıcısının güvenlik duyurusu da kontrol edilmelidir.

WordPress, Laravel veya başka bir uygulamayı güncellemek, sunucudaki PHP çalışma zamanını otomatik olarak güncellemez. Hosting hizmeti kullanıyorsanız sağlayıcınızdan ilgili CVE’lerin giderildiğine dair teyit isteyin.

23 Ekim’deki ek duyuruyu da dikkate alın: PHP ekibi, alışılmadık bir oturum yapılandırmasında oluşabilen CVE-2026-115560 için sonraki düzenli sürüme kadar aşağıdaki ayarın kullanılmasını öneriyor:

session.upload_progress.enabled = 0

Bu önlem iki ana açığın yamasının yerine geçmez. İlgili PHP yapılandırmasında uygulanmalı ve servislerin yapılandırmayı yeniden yüklediği doğrulanmalıdır.

Node.js çalışma zamanını güncelleyin

21 Ekim güvenlik sürümleri şunlar:

Kullanılan destekli dalda bu düzeltmeleri içeren sürüme veya daha yeni güvenlik sürümüne geçilmelidir. Destek dışı sürümler için geçiş planı önceliklendirilmelidir.

npm update veya npm audit fix, Node.js çalışma zamanını güncellemez. Runtime, uygulama bağımlılıkları ve konteyner taban imajları ayrı katmanlar olarak ele alınmalıdır.

Güncellemeyi çalışan sisteme taşıyın ve doğrulayın

Paketlerin diskte güncellenmesi sonrasında çalışan süreçlerin de yeni sürümü kullanması sağlanmalıdır. Konteyner ortamlarında imajları yeniden oluşturup dağıtın; kalıcı servislerde uygun yeniden başlatma işlemini uygulayın.

Ardından giriş, dosya yükleme, API çağrıları, oturum yönetimi ve arka plan işleri gibi kritik akışları kontrol edin. Dağıtımın başarılı görünmesi, bütün uygulama yollarının doğru çalıştığını tek başına göstermez.

Koruma katmanlarını kullanın, geçmiş etkinliği inceleyin

WAF ve IPS kurallarını güncellemek ek koruma sağlar. Ancak WAF, kalıcı yamanın yerine geçmez; Cloudflare da kendi duyurusunda PHP’nin güncellenmesi gerektiğini özellikle belirtiyor.

Güncellemenin yanında loglar ve uç nokta kayıtları da incelenmelidir. Web süreçlerinin beklenmedik komut yorumlayıcıları başlatması, olağan dışı dış bağlantılar ve uygulama dizinlerinde açıklanamayan değişiklikler araştırılmalıdır. Şüpheli bulgular varsa kayıtları koruyun, sistemi izole edin ve olay müdahale sürecini başlatın. Ele geçirilmiş olabilecek erişim bilgilerini temiz bir ortamdan yenileyin.

Sonuç

PHP ve Node.js duyuruları, yazılım güvenliğinin uygulama kodundan altyapı bakımına kadar uzanan sürekli bir sorumluluk olduğunu hatırlattı. Güncel bir framework kullanmak veya bağımlılık taramasından temiz sonuç almak, çalışma zamanındaki bir açığı ortadan kaldırmıyor.

Yapay zekâ, güvenlik araştırmalarını hızlandırırken kurumların müdahale sürelerini de yeniden düşünmesini gerektiriyor. Bu gelişmelere verilecek en güçlü yanıt; güncel bir sistem envanteri, hızlı uygulanabilen güvenlik yamaları, doğrulanmış dağıtımlar ve şüpheli etkinliği görebilen bir izleme düzeni kurmak.

Bugün yapılması gereken, kullanılan PHP ve Node.js sürümlerini doğrulamak, gerekli güncellemeleri çalışan sistemlere taşımak ve güncelleme öncesindeki olası saldırı izlerini incelemek. Bu süreçlerin düzenli işletilmesi, bir sonraki güvenlik duyurusunun etkisini de azaltacaktır.