PHP2Shell olarak adlandırılan iki kritik güvenlik açığı, internetin arka planında çalışan PHP'yi yeniden gündemin merkezine taşıdı. Açıkların ortaya çıkmasının ardından milyonlarca saldırı girişimi tespit edilirken dünyanın farklı bölgelerindeki kurumlar sistemlerini korumak için harekete geçti. Yaşananlar, birçok internet kullanıcısının adını bile duymadığı bu teknolojinin ne kadar yaygın olduğunu da gösterdi.
Peki PHP nedir, ne işe yarar ve bir programlama dilindeki güvenlik sorunu neden bu kadar fazla internet sitesini ilgilendiriyor?
PHP nedir?
PHP (PHP: Hypertext Preprocessor), özellikle internet siteleri ve web uygulamaları geliştirmek için kullanılan, açık kaynaklı bir programlama dilidir. Temel görevi, bir internet sitesinin arka planında çalışarak kullanıcının isteğine göre içerik üretmek ve çeşitli işlemleri gerçekleştirmektir.
Bir internet sitesinde gördüğümüz yazılar, görseller, butonlar ve menüler kullanıcıya gösterilen kısmı oluşturur. Ancak bir hesaba giriş yapmak, yorum göndermek, arama yapmak veya bir ürünü sepete eklemek gibi işlemler arka planda çalışan yazılımlara ihtiyaç duyar.
PHP de bu işlemlerin gerçekleştirilmesini sağlayabilen teknolojilerden biridir. Üstelik kullanıcıların PHP'yi bilgisayarlarına yüklemesi veya nasıl çalıştığını bilmesi gerekmez. Çünkü PHP kodları genellikle internet sitesinin barındırıldığı sunucuda çalışır.
PHP ne işe yarar ve nasıl çalışır?
PHP'nin çalışma mantığını bir haber sitesi üzerinden düşünelim.
Bir ziyaretçi, internet sitesinde yayımlanan yeni bir haberi açtığında sunucu gelen isteği işler. PHP tabanlı bir sistemde ilgili yazı, başlık, yazar bilgisi ve diğer içerikler veri tabanından alınarak ziyaretçiye gösterilecek sayfa hazırlanabilir.
Ziyaretçinin tarayıcısına PHP kodlarının kendisi değil, bu işlemlerin sonucunda oluşturulan içerik gönderilir. Böylece her yazı için baştan ayrı bir HTML sayfası hazırlamak gerekmez.
PHP yalnızca içerik göstermek için kullanılmaz. Üyelik ve oturum işlemleri, iletişim formları, yorum sistemleri, veri tabanı bağlantıları, e-ticaret işlevleri ve çeşitli yönetim panelleri de PHP ile geliştirilebilir.
Kısacası PHP, bir internet sitesinin yalnızca ziyaretçilerin gördüğü sayfalardan ibaret olmamasını sağlayan arka plan teknolojilerinden biridir.
PHP hangi internet sitelerinde kullanılır?
PHP'nin yaygınlaşmasında içerik yönetim sistemlerinin büyük payı bulunuyor. Özellikle WordPress sayesinde yazılım geliştirme bilgisi olmayan kişiler bile PHP tabanlı internet siteleri oluşturabiliyor.
PHP kullanan sistemlerin başlıca örnekleri şöyle:
WordPress: Bloglar, haber siteleri, kurumsal sayfalar ve çeşitli içerik platformları oluşturmak için kullanılıyor.
WooCommerce: WordPress üzerinde çalışan çevrim içi mağazaların ürün, sipariş ve alışveriş işlemlerini yönetmesini sağlıyor.
Drupal ve Joomla: Kurumsal sitelerden büyük içerik platformlarına kadar farklı projelerde kullanılan içerik yönetim sistemleri.
MediaWiki: Wikipedia'nın da altyapısını oluşturan, PHP ile geliştirilmiş açık kaynaklı wiki yazılımı.
Laravel: Geliştiricilerin PHP kullanarak özel internet siteleri, uygulamalar ve servisler oluşturmasını kolaylaştıran bir yazılım çatısı.
Dolayısıyla PHP yalnızca küçük blogların kullandığı eski bir teknoloji değil. Haber sitelerinden çevrim içi mağazalara, bilgi platformlarından özel web uygulamalarına kadar oldukça geniş bir kullanım alanına sahip.
İnternet sitelerinin yüzde 70'i PHP mi kullanıyor?
PHP'nin yaygınlığını gösteren veriler, son güvenlik krizinin ardından yeniden dikkat çekmeye başladı.
Web teknolojilerinin kullanımını takip eden W3Techs'in 21 Ekim 2026 verilerine göre PHP, sunucu tarafında kullanılan programlama dili tespit edilebilen internet sitelerinin yaklaşık yüzde 69'unda bulunuyor.
Burada önemli bir ayrıntı var: Bu oran, internetteki bütün sitelerin yüzde 69'unun PHP kullandığı anlamına gelmiyor. Yalnızca sunucu tarafı programlama dili belirlenebilen siteler üzerinden hesaplanıyor.
Yine de bu veri, PHP'nin neden internetin en yaygın altyapı teknolojilerinden biri kabul edildiğini açıklıyor.
PHP ile JavaScript arasındaki fark nedir?
PHP'nin bu kadar yaygın olması, bütün internet sitelerinin PHP kullanmak zorunda olduğu anlamına gelmiyor.
PHP çoğunlukla sunucu tarafında çalışırken JavaScript, tarayıcıda çalışan etkileşimli özelliklerin geliştirilmesinde yaygın olarak kullanılıyor. Ancak JavaScript, Node.js gibi çalışma ortamları sayesinde sunucu tarafında da kullanılabiliyor.
Örneğin React, Vue, Next.js veya Nuxt gibi teknolojilerle geliştirilen bir internet sitesi, PHP kullanmadan da çalışabilir. Bununla birlikte bu teknolojilerden biriyle hazırlanan kullanıcı arayüzünün arka planda PHP tabanlı bir sistemle iletişim kurması da mümkün.
Bu nedenle PHP ile JavaScript'i birbirinin doğrudan alternatifi olarak değerlendirmek her zaman doğru değil. İki teknoloji farklı görevlerde kullanılabildiği gibi aynı projede birlikte de çalışabiliyor.
PHP2Shell güvenlik açığı neden bu kadar büyük bir sorun hâline geldi?
PHP'nin yeniden gündeme gelmesinin nedeni, 21 Ekim 2026'da kamuoyuyla paylaşılan iki kritik güvenlik açığı.
PHP2Shell adı verilen bu açıklar, belirli koşullarda saldırganların kullanıcı hesabına giriş yapmadan savunmasız sunucularda kendi kodlarını çalıştırabilmesine olanak tanıyor.
Sorunu diğer pek çok güvenlik açığından ayıran nokta, doğrudan PHP'nin kendisini etkilemesi. Dolayısıyla yalnızca belirli bir WordPress eklentisinin veya tek bir internet sitesinin güvenlik sorunu söz konusu değil.
PHP kullanan farklı uygulamalar da sunucularındaki savunmasız PHP kurulumları nedeniyle risk altında bulunabiliyor.
PHP geliştiricileri, bu iki kritik açığı gidermek için 21 Ekim'de güvenlik güncellemeleri yayımladı. Ancak gerekli düzeltmelerin henüz uygulanmadığı sistemler saldırganların hedefi olmaya devam edebilir.
PHP kullanan bütün siteler tehlikede mi?
Hayır. Bir internet sitesinin PHP kullanması, mutlaka güvenlik açığından etkilendiği veya saldırıya uğradığı anlamına gelmiyor.
Riskin değerlendirilmesinde kullanılan PHP sürümü, güvenlik yamalarının uygulanıp uygulanmadığı ve sunucunun yapılandırması gibi unsurlar önem taşıyor.
Ayrıca milyonlarca saldırı girişimi tespit edilmesi, milyonlarca internet sitesinin ele geçirildiğini göstermiyor. Saldırı denemeleriyle başarılı sistem ihlallerini birbirinden ayırmak gerekiyor.
PHP güvenli mi?
PHP'nin güvenliği yalnızca kullanılan programlama diline bağlı değil. Güncel sürümler, yazılımın nasıl geliştirildiği, sunucu ayarları ve güvenlik güncellemelerinin düzenli uygulanması da belirleyici.
PHP, diğer yaygın programlama dilleri gibi zaman içinde güvenlik açıklarıyla karşılaşabiliyor. Bu durum tek başına PHP'nin güvensiz olduğu anlamına gelmiyor.
Ancak PHP2Shell olayında olduğu gibi doğrudan programlama dilinin çalışma ortamını etkileyen kritik bir açık keşfedildiğinde, aynı teknolojiyi kullanan çok sayıda sistemin güncellenmesi gerekebiliyor.
Üstelik internet sitesinin uygulama yazılımı güncel olsa bile sunucudaki PHP sürümü gerekli güvenlik düzeltmelerini içermiyorsa risk devam edebiliyor.
Bu nedenle PHP kullanan sistemlerin güvenliğinde yalnızca internet sitesi yazılımının değil, sunucu altyapısının da güncel tutulması gerekiyor.
PHP kullanan bir internet sitesine giriyorsam ne yapmalıyım?
Bir internet sitesini ziyaret etmek için PHP yüklemeniz, güncellemeniz veya bilgisayarınızda herhangi bir işlem yapmanız gerekmiyor. PHP'nin bakımından esas olarak ilgili internet sitesini işletenler ve sunucu altyapısını yönetenler sorumlu.
Ancak kendi WordPress siteniz veya PHP tabanlı başka bir projeniz bulunuyorsa durum farklı.
WordPress kullanıcıları, yönetim panelindeki Araçlar > Site Sağlığı > Bilgiler > Sunucu bölümünden mevcut PHP sürümünü öğrenebiliyor.
Sürümün güncel olup olmadığını ve PHP2Shell için gerekli güvenlik yamalarının uygulanıp uygulanmadığını barındırma hizmeti sağlayıcısından doğrulamak gerekiyor.
WordPress geliştiricilerinin 21 Ekim tarihli açıklaması da bu ayrımı vurguluyor. Güvenlik sorunu WordPress'in kendisinden kaynaklanmadığı için yalnızca WordPress'i güncellemek, PHP tarafındaki açıkları kapatmıyor.
PHP'nin bugün bu kadar konuşulmasının temel nedeni de burada yatıyor. Ziyaretçilerin çoğunun hiç karşılaşmadığı bu programlama dili, yıllardır sayısız internet sitesinin arka planında çalışıyor. PHP2Shell krizi ise böylesine yaygın bir altyapıda ortaya çıkan güvenlik sorununun neden yalnızca yazılımcıları değil, internet sitesi sahiplerini ve hizmet sağlayıcılarını da yakından ilgilendirdiğini gösteriyor.
Yorumlar 0