PHP internetin büyük bölümünü ayakta tutuyor ancak arkasında yalnızca bir tam zamanlı çalışan var

İnternetin en yaygın kullanılan teknolojilerinden PHP, yaklaşık 30 yıllık geçmişine rağmen web dünyasının temel taşlarından biri olmayı sürdürüyor. Ancak milyarlarca kullanıcının ziyaret ettiği internet sitelerinin arkasında çalışan bu açık kaynaklı programlama dilinin geliştirilmesini ve güvenliğini destekleyen PHP Foundation, şaşırtıcı derecede sınırlı insan kaynağıyla faaliyet gösteriyor.

PHP Foundation İcra Direktörü Elizabeth Barron tarafından paylaşılan bilgilere göre vakıfta şu anda yalnızca bir tam zamanlı çalışan bulunuyor: Barron’ın kendisi. Vakıf ayrıca büyük bölümü yarı zamanlı çalışan 14 yükleniciden destek alırken yönetim kurulu üyeleri görevlerini gönüllü olarak yürütüyor.

Bu tablo, PHP’nin web üzerindeki ölçeği düşünüldüğünde dikkat çekici bir tezat ortaya çıkarıyor.

PHP hâlâ web dünyasının yaklaşık yüzde 70’inde kullanılıyor

W3Techs tarafından 25 Ekim 2026 tarihinde yayımlanan verilere göre PHP, sunucu tarafında hangi programlama dilinin kullanıldığı tespit edilebilen internet sitelerinin yüzde 69,2’sinde bulunuyor.

Aynı veriler JavaScript’in yüzde 8,2, ASP.NET’in ise yüzde 4,2 seviyesinde olduğunu gösteriyor. PHP ayrıca dünyanın en çok ziyaret edilen ilk 1 milyon sitesi arasında da yüzde 64’ün üzerinde kullanım oranına sahip.

Dolayısıyla PHP’nin “internetin yüzde 70’ine güç verdiği” şeklindeki yaygın ifade tamamen temelsiz değil. Ancak daha doğru tanım, sunucu tarafı teknolojisi belirlenebilen sitelerin yaklaşık yüzde 70’inin PHP kullandığı şeklinde.

WordPress gibi son derece yaygın içerik yönetim sistemlerinin PHP üzerine kurulmuş olması da dilin internet altyapısındaki önemini artırıyor.

PHP Foundation kaynak sıkıntısıyla karşı karşıya

PHP’nin küresel ölçekteki kullanımına rağmen dilin uzun vadeli gelişimini destekleyen PHP Foundation oldukça küçük bir organizasyon.

Barron’ın Reuters’a verdiği bilgilere göre vakıfta kendisi dışında tam zamanlı çalışan bulunmuyor. Organizasyonun teknik çalışmalarına katkı sağlayan 14 yüklenicinin büyük bölümü yarı zamanlı görev yaparken yönetim kurulu üyeleri herhangi bir ücret almadan çalışıyor.

PHP Foundation’ın kendi yıl içi raporları da çekirdek geliştirme ekibindeki isimlerin önemli bölümünün vakıf için yarı zamanlı çalıştığını gösteriyor. Örneğin vakfın 2026’nın ikinci çeyreğine ilişkin raporunda çekirdek ekibin farklı ülkelerde bulunan 13 geliştiriciden oluştuğu ve yüklenicilerin çoğunun PHP dışındaki projelerde de çalıştığı belirtilmişti.

Kâr amacı gütmeyen kuruluşun finansmanı ağırlıklı olarak bağışlar ve hibelerden sağlanıyor.

Sorun ise PHP gibi milyonlarca sunucunun güvenliğiyle doğrudan bağlantılı bir teknolojinin kod inceleme, hata düzeltme, güvenlik araştırması ve bakım süreçlerinin ciddi miktarda uzman insan gücüne ihtiyaç duyması.

Kritik PHP açıkları sorunu yeniden gündeme getirdi

PHP Foundation’ın kaynak sorunu, Ekim 2026’da ortaya çıkarılan iki kritik güvenlik açığı sonrasında daha fazla dikkat çekmeye başladı.

CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen açıklar, belirli koşullarda saldırganların uzaktan kod çalıştırabilmesine imkan verebilecek kadar ciddi olarak değerlendirildi.

Her iki açık da 10 üzerinden 9,2 önem derecesi aldı. Avrupa’daki bazı kamu kurumları, sistemlerini güvenli hale getirene kadar internet sitelerini geçici olarak çevrimdışı bırakmak zorunda kaldı.

PHP Foundation, açıkların araştırılması ve düzeltmelerin koordine edilmesi sürecinde OpenAI, Wiz ve Calif gibi kuruluşların güvenlik araştırmacılarıyla birlikte çalıştı.

Yayımlanan güvenlik güncellemeleri sonrasında sistem yöneticilerinin etkilenen PHP sürümlerini mümkün olduğunca hızlı şekilde yükseltmesi istendi.

Saldırı girişimleri açıklar duyurulmadan önce başlamış olabilir

Olayın en dikkat çekici noktalarından biri ise AWS tarafından paylaşılan tehdit istihbaratı oldu.

Amazon Threat Intelligence, 17 Ekim 2026 tarihinde, güvenlik açıklarının kamuoyuna açıklanmasından dört gün önce PHP2Shell olarak adlandırılan saldırı yöntemiyle bağlantılı bir istismar girişiminin MadPot altyapısında tespit edildiğini açıkladı.

Bu durum saldırganların açıkla ilgili bilgiye resmi duyurudan önce ulaşmış veya güvenlik açığını bağımsız olarak keşfetmiş olabileceğini düşündürüyor.

Ancak burada önemli bir ayrım bulunuyor: AWS’nin tespit ettiği veriler saldırı girişimlerini gösteriyor. Şirket, bu erken girişimlerin gerçek dünyadaki sistemlerde başarıyla sonuçlanıp sonuçlanmadığının kesin olarak bilinmediğini belirtiyor.

Açıkların kamuoyuna duyurulmasının ardından ise PHP2Shell saldırı girişimlerinin hızla yaygınlaştığı bildirildi.

Yapay zeka güvenlik açıklarını buluyor, iş yükünü de artırıyor

PHP cephesindeki gelişmeler aynı zamanda yapay zekanın yazılım dünyasında yarattığı çift yönlü etkiyi de gözler önüne seriyor.

Yapay zeka destekli araçlar, araştırmacıların oldukça eski ve karmaşık güvenlik açıklarını ortaya çıkarmasına yardımcı olabiliyor. Ekim ayında ortaya çıkarılan PHP açıklarının altında bulunan bazı problemlerin uzun yıllardır kod tabanında yer aldığı belirtiliyor.

Ancak yapay zekanın yaygınlaşmasının farklı bir sonucu daha var.

Kod üretmeyi kolaylaştıran yapay zeka araçları sayesinde açık kaynak projelerine gönderilen değişiklik ve geliştirme önerilerinin sayısı ciddi biçimde artıyor.

Barron’a göre PHP projesine gönderilen kod değişikliği önerilerinin sayısı bir yıl öncesine kıyasla neredeyse iki katına çıktı. Buna karşılık bu değişiklikleri değerlendirecek deneyimli geliştirici sayısında aynı ölçüde bir artış gerçekleşmedi.

Ortaya çıkan kodun yapay zeka tarafından oluşturulmuş olması, insan denetimine duyulan ihtiyacı da ortadan kaldırmıyor.

Bir değişikliğin PHP’nin mevcut davranışlarını bozup bozmadığının incelenmesi, güvenlik açıklarının doğrulanması, hata raporlarının değerlendirilmesi ve kodun milyonlarca sistem üzerinde güvenle çalışabileceğinden emin olunması halen önemli ölçüde insan uzmanlığı gerektiriyor.

İnternetin görünmez altyapısında sürdürülebilirlik sorunu

PHP Foundation’ın yaşadığı durum aslında açık kaynak yazılım ekosistemindeki daha geniş bir problemin de örneği.

Günlük olarak kullanılan pek çok web sitesi ve çevrimiçi hizmet, arka planda küçük geliştirici toplulukları tarafından sürdürülen açık kaynak projelerine dayanıyor.

Bu projeler son kullanıcı tarafından çoğu zaman görülmese de ortaya çıkabilecek kritik bir güvenlik açığı aynı anda binlerce veya milyonlarca sistemi etkileyebiliyor.

PHP ise ölçeği nedeniyle bu durumun en dikkat çekici örneklerinden biri.

W3Techs’in güncel verilerine göre sunucu tarafı programlama dili bilinen sitelerin yaklaşık yüzde 69,2’sinde PHP bulunurken, bu ekosistemin gelişimini destekleyen vakfın yalnızca bir tam zamanlı çalışanla faaliyet göstermesi, açık kaynak projelerinin finansmanı ve sürdürülebilirliği konusundaki tartışmaları yeniden gündeme getiriyor.

Önümüzdeki dönemde yapay zeka destekli güvenlik araştırmalarının ve otomatik kod üretiminin daha da yaygınlaşması beklenirken, PHP Foundation gibi kritik açık kaynak kuruluşlarının finansman ve insan kaynağı ihtiyacının da giderek daha önemli hale gelmesi bekleniyor.