Trust Wallet, 9,2 Puanlık Kritik PHP Açıkları Sonrasında Kullanıcıların İşlem Yapmasına Gerek Olmadığını Bildirdi

Trust Wallet PHP Riskini Değerlendirdi

Trust Wallet, 22 Ekim 2026'da yayımladığı resmi açıklamayla kullanıcılarına güvence verdi: Şirketin cüzdan uygulamaları ve temel altyapısı PHP üzerine kurulu değil, dolayısıyla bu hafta söz konusu yazılımda açıklanan kritik güvenlik açıkları servisi etkilemiyor. Şirket bu duruşunu, açık açıklandıktan sonra yaklaşık bir gün içinde X üzerinde yaptığı resmi açıklamayla ortaya koydu. Açıklama, PHP konusu gündeme düştüğü andan itibaren kripto kanallarında dolaşan soruya cevap veriyor: Bir kripto cüzdan sağlayıcısı etkilenen yığında herhangi bir yerde bulunuyor mu? Şirketin cevabı her iki başlıkta da hayır. Uygulamaları etkilenen teknolojiyle yazılmadı, çekirdek altyapısı da ona dayanmıyor; bu nedenle açıklandığı şekliyle açıklıklar hizmete uygulanmıyor. Paylaşılan açıklama şöyle: “Yakın zamanda açıklanan PHP güvenlik açığından haberdarız. Trust Wallet'ın cüzdan uygulamaları ve çekirdek altyapısı PHP üzerine kurulu değil. Kullanıcılarımız etkilenmiyor ve herhangi bir işlem yapmaları gerekmiyor.” Ardından gelen talimat da açık: Kullanıcılardan fon taşımaları, yeni hesaplar açmaları ya da ek bir güvenlik adımı atmaları istenmiyor ve şirket paylaşımını olay müdahalesi yerine izleme güncellemesi olarak konumlandırıyor. Güvence bilinçli biçimde dar tutulmuş; şirket bu çizgiyi kendisi çiziyor. Açıklama yalnızca yeni açıklanan PHP açıklarının uygulamalar ve altyapı ile ilişkisini kapsıyor, daha geniş bir iddiaya girmiyor. Cüzdanın her türlü saldırıya karşı güvenli olduğunu öne sürmüyor ve kullanıcının ziyaret edebileceği diğer platformları da kapsamıyor. Güvence, kullanıcı tarafında herhangi bir etki bildirilmeden önce geldi ve şirket beklenen bir etki bulunmadığının gerekçesi olarak mimari noktayı gösterdi.

CVE-2026-109618 ve CVE-2026-109619

Açıklamanın konusu olan olay, webin büyük bir bölümünü çalıştıran sunucu taraflı programlama dili PHP'deki ve 21 Ekim 2026'da kamuya açılan iki kritik açık. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla izlenen her iki açık da CVSS 4.0 sistemine göre 10 üzerinden 9,2 ağırlığında derecelendirildi ve belirli koşullar altında bir saldırganın savunmasız sunucuda uzaktan kötü amaçlı kod çalıştırmasına izin veriyor. Maruziyet, güvenlik güncellemelerini uygulamamış PHP tabanlı web sunucularında bulunuyor; WordPress, Magento ve benzeri PHP uygulamaları, etkilenen sunucu yapılandırmalarında kapsama girebiliyor. Açıklama, her PHP sitesinin saldırıya uğradığı ya da kullanıcı verisinin ele geçirildiği anlamına gelmiyor. PHP geliştirme ekibi, yamalarla aynı günü kullandı; yamalı sürümler arasında 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 yer alıyor ve sunucu yöneticilerinden kendi sürümlerinin yamalı derlemesine ya da dağıtımcılarının güvenlik paketine güncellemeleri bekleniyor. Bu tablo karşısında Trust Wallet'ın kendi kullanıcılarına mesajı şu: Bu açıklar nedeniyle cüzdan değişimi, aktarım ya da yeni hesap gerekmiyor. Şirket, olumlu bildirimi kalıcı önlemlerle birlikte sunuyor ve bunlar önemli, çünkü bir sıcak cüzdan ağa bağlı kalıyor ve altyapı riski devre dışı bırakıldığında güvenlik yükü büyük ölçüde kullanıcı davranışına düşüyor. Gündemdeki güvenlik olaylarından sonra sahte destek hesapları sık sık kullanıcıları varlıklarını farklı bir cüzdan adresine taşımaya ikna etmeye çalışıyor; kurtarma ifadesi hiçbir siteyle ya da destek görevlisi gibi görünen hiç kimseyle paylaşılmamalı; cüzdan bağlantısı talep eden şüpheli uygulamalardan uzak durulmalı ve işlem onayları imzalamadan önce yakından gözden geçirilmeli. Daha güçlü izolasyonu hak eden uzun vadeli birikimler bir donanım cüzdanı adayı; bu yolu düşünen okuyucular kurulum detayları için Cypherock X1 cüzdan rehberimize bakabilir. Şirket son bir uyarı da ekliyor: PHP açığı, cüzdan uygulamasına asla dokunmasa bile kullanıcının ziyaret ettiği bir siteye dokunabilir; dolayısıyla açıklama, tüm kripto platformlarının güvenli olduğu iddiası olarak okunmamalı. Ayrı araştırmalar da sürüyor: DarkSword iPhone istismarının dokuz cüzdan uygulamasında Trust Wallet kullanıcılarını hedeflediği kayıtlı durumda.

Kalan Risk PHP Değil, Oltalama

Bizim okumamız şudur: Açıklama dar soruyu kapatıyor ama geniş soruyu ayakta bırakıyor. Buradaki birincil kaynak, şirketin kendi paylaşımı, yalnızca Trust Wallet'ın uygulamalarını ve çekirdek altyapısını kapsıyor. Doğrulanmamış kalan ise, barındırma sağlayıcılarından web uygulamalarına kadar kullanıcının dayandığı başka hangi PHP destekli hizmetin maruziyet taşıdığı. Yama sürümleri yöneticilere somut bir çözüm veriyor; ancak güncellenmemiş sunucular, kayıtlarda belirtilen risk olmaya devam ediyor ve bugüne kadarki hiçbir veri bu boşluğu netleştirmiş değil. Pratik düzlemde kayıp yolu artık koddan çok davranış üzerinden işliyor: Bu güvenlik haberine atıf yapıp para aktarımı çağrısı yapan bir oltalama mesajı, açığın kendisinin istismarından daha hızlı kullanıcıya ulaşır. Piyasalar şimdilik sakin; canlı izleme verilerimiz TWT'nin son 24 saatte yaklaşık yüzde 4,7 gerilediğini gösteriyor ve güvenlik başlıklarını piyasa haberi gibi okuyan kullanıcılar seviye seviye bağlam için TWT teknik analizine bakabilir.