Dünyadaki web sitelerinin büyük bölümünün altyapısında kullanılan programlama dili PHP'de ortaya çıkan iki kritik güvenlik açığı, pek çok ülkede kamu sitelerinin geçici olarak erişime kapatılmasına yol açtı. PHP geliştiricileri 21 Ekim'de açıkları kapatan güvenlik güncellemelerini yayımlarken, Türkiye'de Cumhurbaşkanlığı Siber Güvenlik Başkanlığı “PHP2Shell” olarak adlandırılan zafiyetlere karşı ulusal ölçekte tarama başlattı.
5N1K: Haberin özeti
- Ne oldu? PHP'de, kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına imkân verebilen iki kritik güvenlik açığı tespit edildi; birçok ülkede kamu siteleri geçici olarak kapatıldı.
- Kim? PHP geliştirici ekibi, ABD'de FBI ve NSA, Hollanda, Japonya, Norveç, Danimarka, Finlandiya ve Avustralya'daki siber güvenlik kurumları; Türkiye'de Siber Güvenlik Başkanlığı.
- Nerede? Dünya genelinde; Türkiye'de kamu kurumları başta olmak üzere internete açık sistemler.
- Ne zaman? Güncellemeler ve uyarılar 21 Ekim 2026'da yayımlandı; PHP ekibi bir gün önce ön duyuru yapmıştı.
- Nasıl? PHP'nin desteklenen sürümleri için güvenlik güncellemeleri çıkarıldı; güncelleme yapamayan kurumlara sistemlerini geçici olarak çevrimdışı almaları önerildi.
- Neden önemli? FBI'ın açıklamasına göre PHP dünyadaki web sitelerinin yaklaşık yüzde 70'ini destekliyor; açıklar hassas verileri ve ağları tehlikeye atabilir.
Açık neden bu kadar ciddi?
PHP'nin resmi sitesinde yer alan duyuruya göre güncellemeler, CVE-2026-109618 ve CVE-2026-109619 numaralı iki kritik açığı gideriyor. PHP ekibi, bu açıkların kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına imkân verebildiğini belirtiyor. Ekibin bir gün önce yaptığı ön duyuruda iki açığın da CVSS v4.0 ölçeğinde 9,2 puanla değerlendirildiği bildirilmişti. Duyuruda ayrıca tam bir geçici çözüm bulunmadığı, güvenli tek yolun güncelleme olduğu vurgulandı.
Hollanda Ulusal Siber Güvenlik Merkezi'nin (NCSC) uyarısına göre açıklar, internetten gelen istekleri işleyen tüm PHP kurulumlarını etkiliyor. Norveç Ulusal Güvenlik Otoritesi de saldırganların etkilenen sistemlerin kontrolünü parola ya da oturum açma olmadan ele geçirebileceği uyarısında bulundu.
Hangi sürümler güncellendi?
PHP geliştiricileri 21 Ekim'de 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. Henüz test aşamasındaki PHP 8.6'nın dördüncü sürüm adayı (RC4) da aynı düzeltmeleri içeriyor. PHP ekibi tüm kullanıcıların derhal güncelleme yapmasını tavsiye ediyor. Duyuruda ayrıca PHP 8.2'nin destek süresinin 31 Aralık 2026'da sona ereceği hatırlatılıyor.
Ülkeler hangi önlemleri aldı?
Anadolu Ajansı'nın derlediği bilgilere göre FBI, sitelerini hemen güncelleyemeyen kuruluşlara siteleri çevrimdışı almalarını önerdi. Hollanda'da Başbakan Rob Jetten, vatandaşların vergi, sağlık sigortası ve sosyal güvenlik işlemlerinde kullandığı dijital kimlik sistemi DigiD ile resmi yazışmaların görüntülendiği MijnOverheid portalının güvenlik sağlanana kadar geçici olarak kapatıldığını açıkladı. Adalet ve Güvenlik Bakanı David van Weel, açıkların etkisinin büyük olabileceğini, ancak yamanın artık mevcut olduğunu söyledi.
Japonya'da Sağlık, Çalışma ve Refah Bakanlığı bir bilgi paylaşım sistemine ait siteyi geçici olarak askıya aldı; Başbakan Takaichi Sanae PHP kullanan sitelere güncelleme çağrısı yaptı. Norveç'te kamu kurumlarına ait bazı sitelerin erişime kapandığı bildirildi. Finlandiya'da bazı kamu siteleri öncelikli önlem olarak devre dışı bırakıldı. Danimarka sistem sahiplerine en kısa sürede güncelleme yapma ya da sistemleri geçici olarak kapatma çağrısında bulunurken, Avustralya Sinyal İstihbarat Müdürlüğü kuruluşlardan güncellemeleri uygulamaya hazırlanmalarını istedi.
Türkiye'de ulusal tarama
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, “PHP2Shell” olarak adlandırılan zafiyetlerin yüksek risk taşıdığını açıkladı. Başkanlık, kamu kurumları başta olmak üzere ülke genelindeki sistemlerde güvenlik taramaları yürütüldüğünü ve ilgili kurumlara acil önlem almaları için bildirim yapıldığını duyurdu. Siber Olaylara Müdahale Ekipleri (SOME) İletişim Platformu üzerinden tüm kurumlara ve kritik altyapılara acil güvenlik bildirimleri gönderildi.
Başkanlığın kamu ve özel sektördeki sistem yöneticilerine önerileri şöyle sıralandı: internete açık bilişim altyapısının gözden geçirilmesi, yayımlanan güvenlik güncellemelerinin gecikmeden uygulanması, gereksiz dış erişimlerin kısıtlanması ve dışarıya açık olması zorunlu hizmetler için ek koruma önlemleri alınması. Ayrıntılı tavsiyeler, siberguvenlik.gov.tr adresinde tr-26-1372 numaralı duyuruda yer alıyor.
Açık nasıl ortaya çıktı?
Anadolu Ajansı'nın Wall Street Journal'a dayandırdığı habere göre açık, ağustos ayında güvenlik şirketi Calif tarafından yapay zekâ desteğiyle tespit edildi ve bilgi basına sızdı. OpenAI ise bir blog yazısında son iki ayda PHP açıkları üzerinde çalışan araştırmacı ve uzmanlardan oluşan bir gruba liderlik ettiğini açıkladı. PHP Vakfı da sistemlerin güncellenmesine ilişkin düzeltmeleri ve talimatları yayımladı.
Kendi sitesini PHP tabanlı bir altyapıyla yöneten kişi ve işletmeler için en önemli adım, barındırma firmasıyla iletişime geçerek kullanılan PHP sürümünün güncel olup olmadığını kontrol etmek. Hazır içerik yönetim sistemleri kullananların da sunucu tarafındaki PHP sürümünün yukarıda sayılan güncel sürümlerden biri olduğunu doğrulaması öneriliyor.
Sık sorulan sorular
PHP açığı nedir?
PHP'de bulunan iki kritik güvenlik açığı (CVE-2026-109618 ve CVE-2026-109619), belirli koşullarda saldırganların kimlik doğrulaması olmadan sunucuda uzaktan kod çalıştırmasına imkân verebiliyor.
Hangi PHP sürümlerine güncelleme yapılmalı?
PHP ekibi 21 Ekim 2026'da 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. Kullanılan sürüm dalının bu güncel sürümüne geçilmesi gerekiyor.
Hangi ülkelerde siteler kapatıldı?
Hollanda'da DigiD ve MijnOverheid geçici olarak kapatıldı; Japonya, Norveç ve Finlandiya'da da bazı kamu sitelerinin erişime kapatıldığı bildirildi.
Türkiye'de ne yapılıyor?
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, kamu kurumları başta olmak üzere ulusal ölçekte güvenlik taraması başlattı ve kurumlara acil bildirim gönderdi.
“PHP2Shell” ne demek?
Siber Güvenlik Başkanlığı, PHP'deki bu kritik zafiyetleri “PHP2Shell” adıyla anıyor ve yüksek riskli olarak sınıflandırıyor.
Kaynaklar
- PHP: Resmi sürüm duyuruları
- Anadolu Ajansı: Dünya çapında PHP kaynaklı güvenlik açığının giderilmesi için çok sayıda internet sitesi erişime kapatıldı
- Anadolu Ajansı: Siber Güvenlik Başkanlığınca kritik güvenlik zafiyetlerine karşı ulusal ölçekte tarama başlatıldı
- Anadolu Ajansı: Hollanda'da güvenlik açığı nedeniyle vatandaşlık hizmeti sunulan siteler erişime kapatıldı
- Cumhurbaşkanlığı Siber Güvenlik Başkanlığı
Görsel temsilîdir: Wikimedia Commons (CC0 1.0).
