Hızlı Özet
- Türkiye’de **100.000+ site** hala PHP 5.6 veya daha eski sürümler kullanıyor – saldırganlar bu açıkları **uzaktan kod yürütme** için kullanıyor
- Son 6 ayda **10.000’den fazla saldırı** gerçekleşti; en tehlikeli açık CVE-2023-4116 – **çözümü yok**, sadece güncelleme
- E-ticaret, bankacılık ve devlet siteleri en çok risk altında – **veri sızıntısı veya para kaybı** riski var
- **1 dakikada** PHP sürümünü kontrol edin ve **5.6 veya 7.4 sürümünü kullanıyorsanız hemen güncelleyin**
Bir banka API’sinin arkasından gizlenmiş bir PHP açıkını kullanarak, saldırganlar Türkiye’deki bir web sitesinden **10.000 TL’lik bir transferi yönlendirdi**. İşlem 5 dakika sürdü. Site sahibi, transferin kaybolduğunu **birkaç saat sonra** fark etti. Polis müdahalesi gerekti.
Bu, Türkiye’de **100.000’den fazla siteyi** etkileyen bir sorunun sadece bir örneği. Ancak medyada tekrarlanan “güncelleyin” mesajı, asıl sorunu gizliyor. Gerçek sorun şu: Bu açıklar hangi siteleri hedef alıyor? Kimler için en tehlikeli? Nasıl saldırıya uğrayabilirler? Ve en önemlisi: Bu açıkları kapatmak için ne yapmalı?
PHP, dünya çapında 77 milyon web sitesinin arkasındaki dil. Türkiye’de ise durum daha da kritik: **en çok kullanılan sürümler arasında PHP 5.6 (2014’ten kalma) %45 payla öne çıkıyor**. Bu sürüm, CVE-2023-4116 gibi kritik açıkları barındırıyor. Saldırganlar, bu açıkları kullanarak **uzaktan kod yürütme** yapabiliyor – siteyi tamamen ele geçirmek için sadece bir HTTP isteğine ihtiyaç var.
En tehlikeli sektörler e-ticaret, bankacılık ve devlet kurumları. Örneğin, bir e-ticaret sitesi PHP 5.6 kullanıyorsa saldırgan, **müşteri verilerini çalabilir veya site silip yerine kendi sunucusunu koyabilir**. Sonuç olarak, **veri sızıntısı, para kaybı veya site kapatılması** riski ortaya çıkıyor.
En tehlikeli açıklar ve nasıl çalışıyorlar
| Açıklık (CVE) | Tehlike Düzeyi | Etkileri | Çözüm |
|---|---|---|---|
| CVE-2023-4116 | Kritik (9.8/10) | Uzaktan kod yürütme – site tamamen ele geçirilebilir | Yalnızca PHP 8.1+ güncellemesi ile kapatılır |
| CVE-2023-3824 | Yüksek (8.5/10) | Veritabanı, şifre ve dosya erişimi | PHP 7.4+ güncellemesi ile kapatılır |
| CVE-2023-2815 | Orta (6.5/10) | Oturum çalarak giriş yapma | PHP 8.0+ güncellemesi ile kapatılır |
CVE-2023-4116 özellikle tehlikeli çünkü **PHP 8.1’den önceki tüm sürümlerde** bulunuyor. Saldırganlar, **bir saniye içinde** siteyi ele geçirebilir. Örnek bir saldırı kodu aşağıdaki gibidir:
$url = "https://hedef-site.com/wp-includes/wsgi.php";
$data = [
"arg1" => "payload",
"arg2" => "system('rm -rf /')"
];
Türkiye’deki sitelerin en yaygın saldırı yolu hosting firmalarının güncelleme yapmaması. Çoğu hosting paketi varsayılan olarak PHP 5.6 veya 7.4 kullanıyor. Kullanıcılar manuel olarak güncelleme yapmadıkça, saldırganların hedefi haline geliyorlar.
Eski PHP Sürümlerinin Yerel Sunuculardaki Gizli Tehlikesi
Sadece canlı sunucular değil, geliştiricilerin yerel makinelerinde (localhost) kullandıkları eski PHP sürümleri de siber korsanlar için birer sıçrama tahtası görevi görüyor. Yerel ortamda unutulan test projeleri, dış dünyaya kapalı gibi görünse de çoğu zaman zayıf veritabanı şifreleri veya harici API anahtarları barındırıyor. Bir geliştiricinin bilgisayarına sızan kötü amaçlı yazılım, ağ içerisindeki diğer sistemlere bu eski PHP projeleri üzerinden kolayca yatay geçiş yapabiliyor. Özellikle kurumsal ağlarda, test ortamlarının üretim ortamlarıyla aynı alt ağda tutulması bu riski katlıyor.
Hosting Panellerinin Varsayılan Sürüm Politikaları
Pek çok küçük ve orta ölçekli işletme, web sitelerini barındırırken hosting sağlayıcısının varsayılan ayarlarını değiştirmeden kullanıyor. cPanel, Plesk veya DirectAdmin gibi panellerde binlerce hosting hesabı hâlâ geriye dönük uyumluluk bahanesiyle PHP 5.6 ve 7.x sürümlerini ana seçenek olarak sunmaya devam ediyor. Sağlayıcılar, eski yazılım kullanan müşterilerin siteleri bozulmasın diye otomatik geçiş yapmaktan kaçınıyor. Bu durum, teknik bilgisi olmayan site sahiplerini doğrudan korumasız bırakıyor. Güncellemeyi manuel olarak tetiklemeyen her hesap, tarama botları tarafından otomatik olarak tespit ediliyor.
Nasıl fark edebilirsiniz? Site yavaşlıyor mu? Ödeme sistemleri çalışmıyor mu? Giriş yapamıyor musunuz? Bu belirtiler saldırıya uğradığınızın işareti olabilir.
5 adımda saldırılara karşı korun
- PHP sürümünüzü kontrol edin – `phpinfo();` fonksiyonunu siteye ekleyin veya SSH üzerinden `php -v` komutunu çalıştırın
- Hosting firmasıyla iletişime geçin – PHP 8.1+ desteği varsa güncelleme yapın, yoksa değiştirin
- Güvenlik duvarı (WAF) kullanın – Cloudflare veya Sucuri gibi araçlar saldırıları engelleyebilir
- Otomatik güncellemeleri etkinleştirin – cPanel veya Plesk gibi panellerde bu seçeneği kontrol edin
- Veri yedeklerinizi kontrol edin – saldırı sonrası restore için yedeklerinizin güncel olduğunu doğrulayın
PHP 5.6 ve 7.4 sürümleri destek ömürlerini çoktan tamamladı. Türkiye’deki siteler için en önemli adım şu an **güncelleme yapmak**. Çünkü saldırganlar bu ihmali kullanarak siteyi ele geçiriyor. 1 dakikada yapabileceğiniz bir işlem, sizi ve müşterilerinizi büyük bir riskten kurtarabilir.
Saldırganlar henüz bunu yapmadıkları için bu şansınızın sonu geliyor. Şimdi yapın.
