20 ve 21 Ekim 2026'da web dünyası zor iki gün geçirdi. PHP'de "PHP2Shell" adı verilen iki kritik uzaktan kod çalıştırma açığı (CVE-2026-109618 ve CVE-2026-109619) planlanan duyurudan önce sızdı. PHP güvenlik ekibi açıkları kritik seviyede derecelendirdi ve acil yamalar yayımladı. Ama saldırganlar beklemedi: Cloudflare, haberin yayılmasından dakikalar sonra on binlerce istismar girişimi gördüğünü açıkladı. Dünyanın farklı yerlerinde bazı kurumlar, yamayı uygulayana kadar sitelerini önlem olarak geçici süreyle kapattı.
PHP, web'in çok büyük bir bölümünü çalıştırıyor. Türkiye'de de kurumsal sitelerin, e-ticaret mağazalarının ve WordPress tabanlı sitelerin önemli bir kısmı PHP üzerinde. Bu yazı panik yaratmak için değil, şu soruyu sormak için: Siteniz bu krizden nasıl etkilendi ve bir sonrakine hazır mı?
İlk adım: Hemen yama
Eğer siteniz PHP kullanıyorsa, öncelik sırası açıktır:
- PHP sürümünüzü öğrenin: Acil yamalar desteklenen güncel sürüm dallarına (8.2, 8.3, 8.4 ve 8.5) yayımlandı. Daha eski bir sürüm kullanıyorsanız, yayımlanan yama sizi kapsamıyor olabilir.
- Yamayı uygulayın: Barındırma firmanızla ya da yazılım sağlayıcınızla hemen iletişime geçin.
- İz arayın: Sitenizde tanımadığınız dosyalar, yeni yönetici hesapları ya da beklenmedik yönlendirmeler olup olmadığını kontrol ettirin.
Güncel teknik ayrıntılar için PHP'nin resmi güvenlik duyurularını takip etmenizi öneririz.
Asıl soru: Neden sürekli yama yapıyoruz?
PHP2Shell tek seferlik bir olay değil, bir belirtidir. Yıllar önce kurulmuş, eski bir PHP sürümünde çalışan, bakımı yapılmayan eklentilerle dolu bir site, her yeni açıkta aynı riski yeniden yaşar. Üstelik bu sitelerin çoğu yavaştır, mobilde zayıftır ve güncellenmesi pahalıdır.
Yama, yangını söndürür. Platform değişikliği, yangın riskini azaltır.
Yeni nesil platform: Next.js
Next.js, bugün dünyanın önde gelen şirketlerinin web sitelerinde kullandığı modern bir web çatısıdır. Eski PHP sitelerine göre temel farkları şunlar:
- Daha küçük saldırı yüzeyi: Sayfaların büyük kısmı önceden hazırlanmış statik içerik olarak sunulabilir. Her ziyaretçide sunucuda kod çalıştırma ihtiyacı azalır.
- Daha hızlı sayfalar: Modern önbellekleme ve görsel optimizasyonu sayesinde siteler özellikle mobilde çok daha hızlı açılır.
- Daha kolay bakım: Güncellemeler kontrollü bir yazılım süreciyle yapılır; "eklenti güncelle, umarım bozulmaz" dönemi biter.
Güvenli geçiş: SEO kaybı olmadan
Birçok şirketin platform değiştirmekten çekindiği nokta, yıllardır kazanılmış Google sıralamalarını kaybetmektir. Geçişi bu riski yönetecek şekilde planlıyoruz:
- İçerik ve SEO envanteri: Mevcut tüm sayfalar, Google'da sıralama alan adresler ve gelen bağlantılar çıkarılır.
- Kalıcı yönlendirmeler: Değişen her adres, eski adresinden yenisine 301 yönlendirmesiyle bağlanır.
- Kesintisiz yayına alma: Yeni site hazır ve test edilmiş olmadan eski site kapatılmaz.
Kazanım: Sadece güvenlik değil
- Daha hızlı site: Daha iyi kullanıcı deneyimi ve daha yüksek dönüşüm.
- Daha güvenli altyapı: Daha az bileşen, daha az açık, daha kontrollü güncelleme.
- AI aramalarına hazır yapı: Google'ın yanında ChatGPT, Gemini ve Perplexity gibi yapay zekâ arama motorlarında görünürlük (GEO) için yapılandırılmış içerik.
Nereden başlamalı?
Önce sitenizin bugünkü durumunu netleştirin: hangi PHP sürümünde çalışıyor, hangi eklentileri kullanıyor, hangi sayfaları trafik getiriyor? Bu tablo, sadece yama mı yoksa platform değişikliği mi gerektiğini gösterir. Sitenizin değerlendirmesi için bizimle görüşün.