PHP'de Kritik Açık: Site Sahibi Ne Yapmalı?

Ne oldu?

PHP, internetteki sitelerin büyük bölümünü çalıştıran programlama dili. 21 Ekim 2026'da PHP ekibi dört sürüm birden yayınladı — 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 — ve bu sürümler iki ciddi açığı kapatıyor:

İkisi de CVSS 9.2 puanlı. Bu ölçek 10 üzerinden gidiyor ve 9'un üzeri "kritik" demek. Daha önemlisi: her ikisi de kimlik doğrulaması gerektirmiyor. Yani saldırganın sitenizde hesabı olmasına, şifre bilmesine gerek yok.

Bu beni ilgilendiriyor mu?

Siteniz şunlardan biriyse evet:

• WordPress, WooCommerce ya da herhangi bir WordPress eklentisi kullanıyorsa
• Özel yazılmış bir PHP paneli, üyelik sistemi veya rezervasyon motoru varsa
• Laravel, Symfony gibi bir PHP çerçevesiyle yazıldıysa
• Paylaşımlı hosting'de duruyorsa (neredeyse kesinlikle PHP çalışıyordur)

İlgilendirmediği tek durum: siteniz tamamen statik HTML ise ve sunucuda hiç PHP çalışmıyorsa. Ama bu nadir — iletişim formu bile çoğu zaman PHP ile çalışır.

Bir ayrıntı daha: PHP ekibi en yüksek riskli yapılandırma olarak mod_php'yi işaret ediyor. Bu, PHP'nin web sunucusunun içine gömülü çalıştığı eski bir yöntem. Hangi yöntemle çalıştığınızı bilmiyorsanız hosting sağlayıcınıza sormanız gerekir.

Sorumluluk kimde?

Burası çoğu işletmenin kafasının karıştığı yer. Kısa cevap: büyük ihtimalle hosting sağlayıcınızda, ama kontrol etmek sizde.

Önemli nokta şu: paylaşımlı hosting'de bile yamanın uygulandığını doğrulamak sizin işiniz. Sağlayıcıların çoğu kritik yamaları hızla geçer ama hepsi geçmez, ve geçtiklerini size haber vermezler.

Sitenizin PHP sürümünü nasıl öğrenirsiniz?

Geliştirici olmanıza gerek yok. En pratik yol, sunucunun yanıt başlıklarına bakmak. Tarayıcıda:

1. Sitenizi açın. Tercihen PHP çalıştıran bir adres — iletişim sayfası ya da yönetim paneli girişi.
2. Geliştirici araçlarını açın. Windows'ta F12, Mac'te Cmd+Option+I.
3. Network (Ağ) sekmesine geçin ve sayfayı yenileyin. Listenin en üstündeki ilk isteğe tıklayın.
4. Response Headers (Yanıt Başlıkları) bölümünü okuyun. x-powered-by satırı varsa sürüm orada yazar, örneğin PHP/8.3.36.

Bu satır görünmüyorsa paniğe gerek yok — birçok sunucu güvenlik gerekçesiyle sürümü gizler. O durumda hosting panelinizden (cPanel'de "MultiPHP Manager" veya "PHP Seçici") bakın ya da doğrudan sağlayıcınıza sorun.

Asıl sinsi risk: destekten düşmüş sürümler

Tek seferlik bir yama haberinden daha önemli bir konu var. PHP sürümlerinin ömrü belli ve destek bittiğinde yeni açıklar hiç kapatılmıyor.

Bu yazının yazıldığı tarihteki tablo:

İki şey dikkat çekiyor:

• PHP 8.2 bu yılın sonunda bitiyor. 31 Aralık 2026'dan sonra bu sürümde bulunan hiçbir açık kapatılmayacak. Sitenizi 8.2'de çalıştırıyorsanız yükseltme planını şimdi yapın, aralık ayına bırakmayın.
• 8.1 ve öncesi zaten bitti. Bu sürümlerdeki açıklar kalıcıdır. PHP ekibi 7.4, 8.0 ve 8.1 için sınırlı birer yama yayınladı ama bu istisnai bir jestti, süreklilik beklenmemeli.

Türkiye'de özellikle birkaç yıl önce yapılmış, o günden beri dokunulmamış kurumsal siteler ve e-ticaret kurulumları hâlâ 7.x sürümlerinde çalışıyor. Bu siteler sadece güvenlik açısından değil, performans ve uyumluluk açısından da geride.

İkinci bir duyuru daha var — ama panik gerektirmiyor

23 Ekim'de PHP ekibi ayrı bir bilgilendirme yayınladı: session.upload_progress özelliğinin bir sonraki hata düzeltme sürümüne kadar kapatılması öneriliyor (session.upload_progress.enabled=0).

Bunu dürüstçe ölçeklendirelim: bu açık yalnızca sıra dışı bir yapılandırmayı etkiliyor — oturum işleyicisi ayarının çalışma zamanında kod içinden değiştirildiği durumlar. Uygulamanız bunu yapmıyorsa özelliği açık bırakabilirsiniz. Yine de sunucu yöneticinizin haberi olmasında fayda var.

Ne yapmalı? Kısa liste

1. Sürümünüzü öğrenin. Yukarıdaki yöntemle 5 dakikada görürsünüz.
2. 8.1 veya daha eskiyse acil yükseltme planlayın. Bu bir bakım işi değil, güvenlik işi. Eklenti ve tema uyumluluğunu test ortamında kontrol ettirin.
3. 8.2'deyseniz bu yıl içinde 8.3 veya üstüne çıkın. Aralık sonunda desteksiz kalacaksınız; son haftaya bırakmak en kötü senaryo.
4. 8.3, 8.4 veya 8.5'teyseniz yamanın geçtiğini doğrulayın. Yamalı sürümler 8.3.36, 8.4.27 ve 8.5.12. Noktadan sonraki sayı bunlardan düşükse sağlayıcınıza yazın.
5. Hosting sağlayıcınıza tek cümlelik soru sorun. "21 Ekim 2026 PHP güvenlik sürümü sunucumuza uygulandı mı?" Cevap gelmiyorsa bu da bir cevaptır.
6. Yedeğinizin çalıştığını doğrulayın. Yükseltme öncesi her zaman; ayrıca bir açık istismar edilirse geri dönüş noktanız olur.

Yükseltirken nelere dikkat edilir?

PHP yükseltmesi çoğu zaman sorunsuz geçer ama birkaç yerde takılır:

• Eski eklenti ve temalar. Yıllardır güncellenmemiş bir WordPress eklentisi yeni PHP sürümünde hata verebilir. Önce test ortamında deneyin.
• Özel yazılmış kod. Ajans ya da freelancer tarafından yazılmış özel modüller en sık kırılan yer. Kodun sahibine haber verin.
• Eski veritabanı bağlantı yöntemleri. Çok eski kodlarda kullanılan bazı fonksiyonlar yeni sürümlerde kaldırıldı.
• Geri alma planı. Sağlayıcınız sürümü geri alabiliyor mu? Yükseltmeden önce bunu bilin.

Siteniz birkaç yıllıksa ve bu yükseltme zincirleme sorun çıkarıyorsa, bu aslında başka bir şeyin işareti olabilir: altyapı yaşlanmış demektir. Yeniden yapma maliyetini neyin belirlediğini web sitesi fiyatları yazısında ele aldık.

Özet

• 21 Ekim 2026'da iki kritik PHP açığı kapatıldı; ikisi de kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma.
• Hafifletme yöntemi yok; tek çözüm güncellemek.
• Paylaşımlı hosting'de güncellemeyi sağlayıcı yapar, ama doğrulamak sizin işiniz.
• PHP 8.1 ve öncesi artık güncelleme almıyor — bu sürümlerdeki açıklar kalıcı.
• PHP 8.2'nin desteği 31 Aralık 2026'da bitiyor; yükseltme planını şimdi yapın.

Sık sorulan sorular

PHP sürümümü kendim yükseltebilir miyim?

Hosting paketinize bağlı. Birçok cPanel paketinde "MultiPHP Manager" veya "PHP Seçici" bölümünden sürüm değiştirilebilir. Ancak her pakette bu yetki açık değildir; bizim kendi hesabımızda örneğin bu özellik kapalı ve sürüm değişikliği yalnızca hosting sağlayıcısı tarafından yapılabiliyor. Panelde böyle bir bölüm göremiyorsanız sağlayıcınıza yazmanız gerekir.

Paylaşımlı hosting kullanıyorum, yine de risk altında mıyım?

Paylaşımlı hosting'de PHP güncellemesini genellikle sağlayıcı sunucu genelinde uygular ve kritik yamaları hızla geçerler. Yine de iki şeyi doğrulamalısınız: yamanın gerçekten uygulandığını ve sitenizin desteği devam eden bir sürümde çalıştığını. Sağlayıcı yamayı geçmiş olsa bile siz PHP 8.1'de duruyorsanız o yama size ulaşmaz, çünkü o sürüme artık düzeltme yayınlanmıyor.

PHP 8.2 kullanıyorum, hemen yükseltmem gerekir mi?

Hemen değil ama bu yıl içinde. PHP 8.2'nin güvenlik desteği 31 Aralık 2026'da bitiyor; o tarihten sonra bu sürümde bulunacak açıklar kapatılmayacak. 21 Ekim yaması 8.2 için de yayınlandı (8.2.35), yani şu an güvendesiniz. Planlamayı aralık ayının son haftasına bırakmayın; eklenti uyumluluğu test etmek zaman ister.

Sitem statik HTML, beni etkiler mi?

Sunucuda hiç PHP çalışmıyorsa bu açıklar sizi doğrudan etkilemez. Ancak pratikte tamamen PHP'siz site azdır: iletişim formları, yorum sistemleri ve yönetim panelleri çoğu zaman PHP ile çalışır. Aynı sunucuda başka bir PHP uygulaması barınıyorsa da durum değişir. Emin olmak için hosting sağlayıcınıza sitenizin hangi bileşenlerinin PHP çalıştırdığını sorun.

İlgili yazılar

• Web Sitesi Fiyatları Neye Göre Değişir? Yaptırma Rehberi
• Consent Mode v2: GA4, Reklam İzinleri ve KVKK
• Çerezler Kalkmadı, Privacy Sandbox Kapandı
• CRM Programı Nedir, Nasıl Seçilir? 7 Soruluk Rehber

İlgili hizmetimiz: Kurumsal web siteleri.

Kaynaklar

• PHP — Resmî duyurular ve sürümler
• PHP — Desteklenen sürümler ve tarihler

Sürüm numaraları, açık kimlikleri ve destek tarihleri php.net üzerindeki resmî duyurulardan 25 Ekim 2026'da alınmıştır. PHP sürüm takvimi ve yama durumu değişebilir; kritik bir karar vermeden önce php.net üzerindeki güncel duyuruları ve hosting sağlayıcınızın bildirimlerini kontrol edin. Bu yazı güvenlik danışmanlığı değildir; sunucu yapılandırmanıza özgü değerlendirme için sistem yöneticinizle çalışın.