PHP Programlama Dili

PHP (Hypertext Preprocessor), dinamik ve etkileşimli web uygulamaları geliştirmek amacıyla tasarlanmış, HTML kodları içerisine gömülebilen (embedded), açık kaynaklı ve genel amaçlı bir sunucu taraflı (server-side) betik dilidir. Sözdizimsel yapısı C, Java ve Perl dillerinden esinlenilerek oluşturulmuştur.^【1】

^{PHP Logo (}PHP⁾

Web üzerinde çalışan dinamik sayfalar üretmenin yanı sıra, komut satırı betikleri (command line scripting) çalıştırma, masaüstü veya sistem düzeyinde metin işleme ve zamanlanmış görevleri (cron) yürütme gibi alanlarda da yaygın biçimde kullanılmaktadır. Linux, Microsoft Windows, macOS ve birçok Unix türevi işletim sisteminde desteklenir. Apache, Nginx, IIS ve lighttpd gibi popüler web sunucuları üzerinde modül, CGI veya FastCGI işlemcisi olarak çalışabilmektedir.^【2】

PHP, ilk olarak 1994 yılında Rasmus Lerdorf tarafından kişisel web sayfasındaki ziyaretçileri takip etmek amacıyla geliştirilen basit bir C kitaplığı seti (Personal Home Page Tools) olarak ortaya çıkmıştır. Dildeki ilk dönem yazım mantığı satır satır ilerleyen prosedürel (procedural) bir yapıya sahipti.^【3】

1990'ların sonlarına doğru, dilin çekirdek mimarisi köklü bir değişim geçirmiştir:

• Zend Engine'in Doğuşu: 1999 yılında Andi Gutmans ve Zeev Suraski, PHP'nin yorumlayıcı çekirdeğini sıfırdan yeniden yazarak Zend Engine'i (Zend Sanal Makinesi) oluşturmuşlardır. Zend Engine, PHP kodlarının doğrudan yorumlanması yerine önce ara koda (opcode) derlenip ardından sanal makinede yürütülmesini sağlayarak performans artışı getirmiştir.
• Nesne Yönelimli Yapıya Geçiş: PHP 4 sürümüyle sınırlı bir nesne yönelimli programlama (OOP) desteği sunulmuş, ancak tam teşekküllü ve kurumsal standartlara uygun OOP mimarisi PHP 5 sürümü ile dile kazandırılmıştır.
• PHP 6 ve Unicode Süreci: PHP 6 projesi, çekirdek düzeyinde eksiksiz Unicode desteği sağlama hedefiyle başlatılmış ancak karşılaşılan mimari zorluklar nedeniyle iptal edilmiştir. Bu nedenle geliştirme süreci PHP 5.x sürümlerinden doğrudan PHP 7.0 sürümüne atlamıştır.
• Açık Kaynak Topluluğu ve Geliştirici Mimarisi: PHP projesi günümüzde The PHP Group, açık kaynak topluluğu, Zend (Perforce) ve bağımsız katkıcılar tarafından yönetilmekte; dilin gelişim kararları RFC (Request for Comments) süreçleri üzerinden oylanarak alınmaktadır.^【4】

PHP projesi, her yıl kasım ayında yeni bir ana/ara sürüm yayımlamakta ve her sürüm koluna toplam 4 yıllık bir destek takvimi (2 yıl aktif destek, 2 yıl yalnızca kritik güvenlik desteği) uygulamaktadır.^【5】

• PHP 3 (1998): Nesne yönelimli programlama desteği eklendi.
• PHP 4 (2000): Zend Engine 1.0 ile performans iyileştirildi.
• PHP 5 (2004): Nesne yönelimli programlama yetenekleri geliştirildi.
• PHP 7 (2015): Daha hızlı çalışan Zend Engine 3.0 kullanıldı.
• PHP 8 (2020): JIT (Just-In-Time) derleyici eklenerek performans artırıldı.
• PHP 5.6 (EOL: 2018): PHP 5.x serisinin son sürümüdür; sabit ifadeler (constant expressions), değişken sayıda argüman kabul eden fonksiyonlar (variadic functions) ve üs alma operatörü (**) getirilmiştir.
• PHP 7.0 (EOL: 2019): Zend Engine 3.0 ile bellek kullanımı yarı yarıya düşürülmüş, performans 2 katına çıkarılmıştır. Skalar tip bildirimleri (scalar type declarations) ve dönüş tipi bildirimleri dile eklenmiştir.
• PHP 7.1 (EOL: 2019): Boş bırakılabilir tipler (nullable types - ?Type), void dönüş tipi, sınıf sabiti görünürlük belirteçleri (public, protected, private) ve iterable pseudo-tipi tanıma alınmıştır.
• PHP 7.2 (EOL: 2020): object tür bildirimi, Sodium kriptografi eklentisinin çekirdeğe dahil edilmesi ve soyut metot ezme (abstract method overriding) kurallarının gevşetilmesi sağlanmıştır.
• PHP 7.3 (EOL: 2021): Esnek Heredoc/Nowdoc sözdizimi, fonksiyon çağrılarında son virgül (trailing comma) izni ve JSON hatalarında istisna fırlatan JSON_THROW_ON_ERROR bayrağı eklenmiştir.
• PHP 7.4 (EOL: 2022): Sınıf mülkleri için tip koruması (typed properties), kısa ok fonksiyonları (arrow functions - fn() => ...), ??= birleşik atama operatörü ve ön yükleme (preloading) mekanizması getirilmiştir.
• PHP 8.0 (EOL: 2023): JIT (Just-In-Time) derleyicisi, birleşim tipleri (union types - T|U), isimli argümanlar (named arguments), öznitelikler (attributes - #[Attribute]), match ifadesi, nullsafe operatörü (?->) ve gevşek karşılaştırma mantığının (0 == "foo" artık false) değiştirilmesi sağlanmıştır.
• PHP 8.1 (EOL: 2025): Numaralandırmalar (enums), salt okunur mülkler (readonly properties), eşzamanlılık için lifler (fibers), first-class callable sözdizimi ve kesişim tipleri (intersection types - T&U) eklenmiştir.
• PHP 8.2 (Aktif / Security Only): Salt okunur sınıflar (readonly classes), DNF (Disjunctive Normal Form) tipleri, bağımsız null, false ve true tipleri dile dahil edilmiş; dinamik mülk oluşturma (dynamic properties) kullanımı önerilmeyen özellik (deprecated) ilan edilmiştir.
• PHP 8.3 (Aktif / Security Only): Dinamik sınıf sabiti erişimi, tiplendirilmiş sınıf sabitleri, json_validate() fonksiyonu ve kopyalama esnasında derin salt okunur güncellemeler getirilmiştir.
• PHP 8.4 (Aktif Support): Mülk kancaları (property hooks - get/set), asimetrik görünürlük (asymmetric visibility - public private(set)), yeni HTTP istek gövdesi ayrıştırma istisnaları tanıma alınmıştır.
• PHP 8.5 (Aktif Support): Boru operatörü (pipe operator - |>), veri ile klonlama (withProperties parametreli clone), özniteliklerde anonim fonksiyon kullanımı ve ölümcül hatalarda ayrıntılı yığın izi (fatal error backtraces) desteği sunulmuştur.
• PHP 8.6 (Geliştirme Aşamasında): Kısmi Fonksiyon Uygulaması (Partial Function Application - PFA) ve gelişmiş desen eşleme (pattern matching) RFC'leri üzerinde çalışılmaktadır.

PHP kodu sunucu tarafından işlenirken metin tabanlı kaynak kod, Zend Engine tarafından dört ana aşamadan geçirilerek yürütülür.^【7】

^{Zend (Yapay Zeka Tarafından Oluşturulmuştur.)}

1. Leksik Analiz (Lexing / Tokenization): Yorumlayıcı, PHP dosyasını bir karakter dizisi olarak okur ve kodu T_VARIABLE ($değişken), T_IF (if), T_LNUMBER (sayısal değer) gibi anlamlı birimlere (token) ayırır.
2. Sözdizimsel Analiz (Parsing / Syntax Analysis): Jeton dizisinin PHP sözdizim kurallarına uygunluğu denetlenir ve kodun mantıksal hiyerarşisini temsil eden bir Soyut Sözdizim Ağacı (Abstract Syntax Tree - AST) inşa edilir. Sözdizim hataları bu aşamada tespit edilir.
3. Derleme (Compilation / Opcode Generation): AST düğümleri, Zend Engine'in anlayabileceği ara talimatlar olan Opcode'lara (operation codes) dönüştürülür. Değişkenler, sabitler ve fonksiyon çağrıları bu safhada çözümlenir.
4. Yürütme (Interpretation / Opcode Execution): Zend Sanal Makinesi (Zend VM), derlenen opcode'ları sırasıyla bellekte çalıştırır, değişkenler için bellek tahsisini yönetir ve çıktı üretir.

• OPcache: Derlenen opcode'ları paylaşımlı bellekte (shared memory) saklayarak her istekte dosyanın tekrar okunuş ve derleme adımlarını atlar.
• JIT (Just-In-Time) Derleyicisi: PHP 8.0 ile gelen JIT, sık çalışan opcodeları doğrudan işlemcinin makine koduna (native machine code) dönüştürür. Saf işlemci yoğunluklu yüklerde %60-95 arası performans artışı sağlayabilir.^【8】
• Kalıcı Uygulama Sunucuları: Geleneksel PHP-FPM modelinin her istekte uygulamayı baştan başlatma maliyetini ortadan kaldırmak için FrankenPHP, RoadRunner ve Laravel Octane gibi süreçleri bellekte sürekli canlı tutan modern çalışma zamanları kullanılmaktadır.^{【9】【10】}

PHP, derleme zamanında denetlenen nominal bir tip sistemi ile güçlü davranışsal alt tiplendirme (strong behavioral subtyping) ilişkisine sahiptir; tiplerin doğrulaması çalışma zamanında dinamik olarak gerçekleştirilir.^【11】

• Atomik Tipler:
• • Skalar Tipler: int, float, string, bool.
  • Dahili ve Özel Tipler: array, object, resource, never, void, göreli sınıf tipleri (self, parent, static), tekil tipler (true, false) ve birim tip (null).
  • Kullanıcı Tanımlı Tipler: class, interface, enum.
  • Çağrılabilir Tip: callable.
• Bileşik Tipler (Composite Types):
• • Birleşim Tipleri (Union Types - |): Bir değerin tanımlanan birden fazla tipten birini alabilmesini sağlar (örneğin int|float|string).
  • Kesişim Tipleri (Intersection Types - &): Bir değerin tanımlanan tüm arabirim/sınıf koşullarını aynı anda sağlamasını zorunlu kılar (örneğin Renderable&Loggable).
  • DNF Tipleri (Disjunctive Normal Form): Birleşim ve kesişim tiplerinin parantezler aracılığıyla birlikte kullanılmasıdır (örneğin HasId|(Nameable&Serializable)).
• Tip Takma Adları (Type Aliases):
• • mixed: object|resource|array|string|float|int|bool|null birleşimini temsil eden geniş takma addır.
  • iterable: Traversable|array birleşimini temsil eder.

Katı (===) ve Gevşek (==) Karşılaştırmalar, PHP 8.0 öncesinde metinler sayılara dönüştürülürken, PHP 8.0 ile birlikte sayılar metne dönüştürülerek karşılaştırılmaktadır. Bu durum mantıksal hataları engellemiştir:^【12】

• Sayı ve Metin Karşılaştırması (0 == "foo"): PHP 7.4 ve öncesinde "foo" metni 0 sayısına dönüştürüldüğü için sonuç true çıkmaktaydı. PHP 8.0+ ile birlikte 0 sayısı metne dönüştürülür ("0" == "foo") ve sonuç false olur.
• Katı Karşılaştırma (===): Tür dönüşümüne (type juggling) izin vermeksizin hem değer hem de veri tipinin birebir aynı olmasını denetler.

PHP yorumlayıcısının çekirdek mimarisi (Zend Engine, ana fonksiyonlar ve eklentiler), bellek koruması bulunmayan C diliyle yazılmış 1 milyon satırı aşkın bir kod tabanından oluşmaktadır. Yorumlayıcı düzeyinde yürütülen incelemeler, bildirilen sistem hatalarının %33,7'sinin alt seviye bellek güvenliği zafiyetlerinden (null pointer dereference, buffer overflow, use-after-free) kaynaklandığını göstermektedir.^【13】

21 Ekim 2026'da PHP yorumlayıcı çekirdeğinde tespit edilen iki kritik uzaktan kod yürütme (Remote Code Execution - RCE) zafiyeti, dünya genelinde web altyapılarını etkileyen geniş çaplı bir güvenlik krizine yol açmıştır. CVSS v4.0 skoru 9.2 olarak derecelendirilen bu zafiyetlerin teknik çalışma mekanizmaları şu şekildedir:^【14】

• CVE-2026-109618 (OOM Bellek Bozulması): Yorumlayıcının bellek üst sınırı (memory_limit) aşıldığında tetiklenen bellek yetersizliği (Out-Of-Memory - OOM) süreçlerinde longjmp() çağrısının kontrol akışını hatalı yönetmesinden kaynaklanır. Örneğin, form tabanlı dosya yükleme istekleri ayrıştırılırken bellek sınırı aşıldığında istek belleği ilklendirilmemiş (uninitialized) durumda kalır; temizleme mekanizması bu geçersiz verileri serbest bırakmaya çalışırken saldırganın önceden kontrol ettiği bellek alanlarını çalıştırarak kimlik doğrulaması olmaksızın uzaktan kod yürütülmesine (unauthenticated RCE) imkan tanır.
• CVE-2026-109619 (Bayat Küresel Durum Zafiyeti): Ölümcül hataların (fatal error) ardından longjmp() mekanizmasının küresel durumu serbest bırakılmış (freed) bellek bölgelerine yönlendirmeye devam etmesiyle oluşur. Aynı worker süreci tarafından işlenen sonraki bir istek, ilklendirme tamamlanmadan bu bayat verileri okuduğunda veya ilgili adreslere dallandığında saldırgan sistem kontrolünü ele geçirebilmektedir.^【15】

PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed dahil olmak üzere web isteklerini işleyen tüm PHP yapılandırmaları risk altında kalmış; Palo Alto Networks Unit 42 telemetri verilerine göre internete açık 22,6 milyondan fazla sunucunun bu zafiyetlerden potansiyel olarak etkilendiği tespit edilmiştir.

Zafiyetlerin sızdırılmasının ardından uluslararası siber güvenlik kurumları ve devlet düzeyindeki otoriteler acil durum senaryolarını devreye sokmuştur:^【16】

• ABD Kurumlarının Uyarısı: ABD Federal Soruşturma Bürosu (FBI) Siber Suçlar Birimi ve Ulusal Güvenlik Ajansı (NSA), dünya genelindeki web sitelerinin yaklaşık %70'ine güç veren PHP'deki bu zafiyetlerin doğrudan hassas ağları ve verileri tehlikeye attığını duyurmuştur. FBI, güncellemeyi hemen uygulayamayan tüm kurum ve kuruluşlara sistemlerini derhal çevrim dışı (offline) hale getirmelerini tavsiye etmiştir.
• Japonya Başbakanı Takaiçi Sanae ve Hükümet Adımları: Japonya'nın ilk kadın Başbakanı Takaiçi Sanae (Sanae Takaichi), resmi bir ulusal uyarı yayımlayarak PHP altyapısını kullanan tüm kamu ve özel sektör kurumlarına yamaları acilen uygulama ve güvenlik önlemlerini alma çağrısında bulunmuştur. Bu uyarı paralelinde, Japonya Sağlık, Çalışma ve Refah Bakanlığı, ülke genelindeki uzun süreli bakım hizmeti sağlayıcılarının iletişim altyapısını içeren ulusal bilgi paylaşım portalını tedbir amacıyla geçici olarak tamamen erişime kapatmıştır.
• Avrupa Devletlerinin Erişim Kısıtlamaları:
• • Hollanda: Başbakan Rob Jetten, vatandaşların kamu hizmetlerine eriştiği kritik DigiD ve MijnOverheid devlet portallarının geçici olarak erişime kapatıldığını açıklamıştır.
  • Norveç: Norveç Ulusal Güvenlik Kurumu (NSM) uyarısının ardından Norveç Dijitalleşme Müdürlüğü ve eğitim/araştırma sektörünün merkezi kimlik doğrulama sistemi Feide devre dışı bırakılmıştır.
  • Finlandiya ve Danimarka: Finlandiya Ulusal Siber Güvenlik Merkezi öncelikli devlet sitelerini, Helsinki Kitap Fuarı ve Finlandiya Film Vakfı platformlarını kapatırken; Danimarka Siber Güvenlik Kurumu sistem sahiplerine acil yama veya çevrim dışı olma talimatı vermiştir.
• Yapay Zeka (AI) Etkisi ve Yama Süreci: Zafiyetlerin ilk tespiti ağustos ayında güvenlik şirketi Calif tarafından yapay zeka araçları yardımıyla gerçekleştirilmiştir. OpenAI, PHP Vakfı ve bağımsız araştırmacılarla 2 ay boyunca ortak çalışarak açıkların kapatılmasına öncülük ettiğini açıklamıştır. PHP geliştirici ekibi zafiyetleri gidermek üzere acil olarak PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 resmi güvenlik sürümlerini yayımlamıştır.^【17】

Uygulama seviyesindeki güvenlik çalışmalarının ötesinde, doğrudan PHP yorumlayıcısındaki alt seviye bellek hatalarını tespit etmek amacıyla Singapur Ulusal Üniversitesi (NUS) araştırmacıları tarafından FlowFusion otomatik fuzzing aracı geliştirilmiştir.^【18】

FlowFusion, PHP resmi test paketindeki 19.000'den fazla .phpt test dosyasının veri akışlarını (dataflow fusion) birbirine bağlayıp karmaşık kod semantikleri üreterek yeni test senaryoları oluşturur. Yorumlayıcı üzerinde yürütülen testlerde FlowFusion, C kod tabanında (örneğin zend_*.c, main.c, php_dom.c) daha önce tespit edilememiş 158 yeni bellek hatası (UAF, buffer overflow, null pointer dereference) ortaya çıkarmıştır. PHP topluluğu doğrudan bu raporlara dayanarak 5.000 satırdan fazla C kodunu güncellemiş ve FlowFusion aracını resmi PHP geliştirici araç zincirine (php/flowfusion) entegre etmiştir.