Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, "PHP2Shell" adıyla anılan iki kritik yazılım açığı nedeniyle 21 Ekim'de ulusal ölçekte bir güvenlik taraması başlattı. Siber Olaylara Müdahale Ekipleri (SOME) İletişim Platformu üzerinden kamu kurumlarına, özel sektör kuruluşlarına ve kritik altyapı işletmecilerine alınması gereken önlemler bildirildi.
Başkanlığın TR-26-1372 sayılı güvenlik bildiriminde, internete açık PHP sistemlerinin incelenmesi, güvenlik güncellemelerinin gecikmeden uygulanması ve yönetim arayüzlerine dış erişimin sınırlandırılması istendi. Yurt dışından erişilmesi gerekmeyen sistemlerin uluslararası trafiğe kapatılması da önerilen tedbirler arasında yer aldı.
Başkanlığın açıklamasında Türkiye'de doğrulanmış bir sızma olayı veya veri kaybına ilişkin sayı paylaşılmadı.
İki açık da kritik düzeyde
PHP, WordPress, Drupal ve Joomla gibi çok sayıda internet sitesi ve kurumsal uygulamanın arka planında kullanılan açık kaynaklı bir programlama dili. Güvenlik şirketi Wiz'e göre dünya genelindeki internet sitelerinin yaklaşık yüzde 70'i PHP'den yararlanıyor.
"CVE-2026-109618" ve "CVE-2026-109619" koduyla kayda geçirilen iki açığın her birine uluslararası güvenlik derecelendirme sisteminde 10 üzerinden 9,2 puan verildi.
PHP geliştiricilerinin açıklamasına göre açıklar, yazılımın bellek yönetiminde ve hata sonrasında belleği temizleme işlemlerinde ortaya çıkıyor. Saldırganlar, belirli koşullarda kullanıcı adı ve parola girmeden özel olarak hazırlanmış internet istekleriyle sunucuda kod çalıştırabiliyor.
Başarılı bir saldırı, uygulamanın erişebildiği dosyaların ve verilerin ele geçirilmesine, site içeriğinin değiştirilmesine ya da hizmetin aksamasına yol açabiliyor.
PHP güvenlik ekibi, özellikle Apache'nin mod_php yapılandırmasında tehlikenin daha yüksek olduğunu, saldırının uygulama kodu çalışmaya başlamadan tetiklenebildiğini bildirdi.
Avrupa'da kamu siteleri ve hastaneler kapatıldı
Reuters'ın 21 Ekim tarihli derlemesine göre Almanya'da federal bilişim hizmetleri sağlayıcısı ITZBund bazı kamu sitelerini kapattı. Alman Dijitalleşme Bakanlığı, uygulamanın önleyici nitelikte olduğunu ve bilinen bir güvenlik olayı bulunmadığını açıkladı.
Fransa'da İçişleri Bakanlığı vilayetlerin internet sitelerini geçici olarak erişime kapattı. Hollanda'da hükümetin Overheid.nl portalı, Rotterdam Limanı, çok sayıda hastane ve başka kuruluşların siteleri önlem amacıyla kapatıldı.
Finlandiya'da devlet bilişim merkezi Valtori kamu internet hizmetlerini durdururken Çekya hükümeti de güvenlik güncellemeleri için resmî sitesine erişimi kesti.
Belçika Dışişleri Bakanlığı, açıklardan yararlanılan saldırı haberlerinin ardından internet sitelerini geçici olarak kapattı. Ancak Belçika Siber Güvenlik Merkezi, ülkenin internet sitelerine yönelik bir saldırı kaydetmediğini bildirdi.
Wikipedia'nın işletmecisi Wikimedia Vakfı da PHP kullanan bazı sistemlerini güvenlik güncellemeleri tamamlanıncaya kadar kapattığını duyurdu.
Kesintilerin büyük bölümü doğrulanmış saldırıların sonucu değil, saldırı olasılığına karşı alınan geçici önlemlerdi.
Buna karşılık internet güvenliği şirketi Cloudflare, koruduğu sistemlere yönelen saldırı trafiği gözlemlediğini ve güvenlik duvarı kurallarını devreye aldığını duyurdu. Bu girişimlerin gözlenmesi, hedef alınan sistemlere başarılı biçimde sızıldığı anlamına gelmiyor.
İki yıl önce belirlenen sorun yapay zekâ yardımıyla somutlaştırıldı
PHP Vakfının 21 Ekim tarihli açıklaması, açıklardan birinin kökenindeki bellek yönetimi sorununun ilk işaretlerinin 2024'te saptandığını ortaya koydu. Ancak o tarihte sorunun uzaktan saldırıya dönüştürülebileceği somut bir yöntem gösterilememişti.
Vakıf, düzeltmede yaşanan gecikmeyi kendi sözleriyle "yapısal bir başarısızlık" olarak niteledi. Karar alma süreçlerini ve kaynak yetersizliğini gecikmenin nedenleri arasında saydı.
2026'da Calif, Wiz ve OpenAI araştırmacıları, gelişmiş yapay zekâ araçlarından yararlanarak açıkların nasıl kullanılabileceğini ortaya koydu. Calif'in araştırmasında OpenAI'ın GPT-5.6 Sol modeli, Wiz'in çalışmalarında ise Google'ın Gemini modelleri dahil çeşitli yapay zekâ araçları kullanıldı.
Araştırmaların ardından PHP geliştiricileri, güvenlik şirketleri ve hizmet sağlayıcıları eşgüdüm içinde düzeltmeleri hazırladı.
İlk olarak 22 Ekim için planlanan güvenlik duyurusu, açıklarla ilgili bilgilerin erken dolaşıma girmesi üzerine 21 Ekim'e çekildi.
Güncellemeler yayımlandı, eski sürümler risk altında
PHP geliştiricileri, açıkları kapatan dört güvenlik güncellemesini 21 Ekim'de yayımladı. Güvenli sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 olarak açıklandı.
PHP 5.4'ten itibaren çok sayıda eski sürüm de açıklardan etkileniyor. PHP 8.1 ve öncesi, ana geliştirici ekibinden düzenli güvenlik güncellemesi almıyor. Bu sürümleri kullanan kuruluşların desteklenen sürümlere geçmesi veya kullandıkları dağıtımın sağladığı özel güvenlik düzeltmelerini kontrol etmesi gerekiyor.
PHP Vakfı, 21 Ekim açıklamasında sistem yöneticilerine şu çağrıda bulundu:
"PHP kullanıyorsanız şimdi güncelleme yapmanız şart."
PHP güvenlik ekibi, güvenlik duvarlarının ve dış erişim sınırlamalarının riski azaltabileceğini, ancak açıkları bütünüyle gidermediğini bildirdi.
Türkiye'deki kurum ve kuruluşlardan da etkilenen sistemleri belirlemeleri, güvenlik güncellemelerini uygulamaları ve gerekirse riskli hizmetleri geçici olarak dış erişime kapatmaları istendi.
Söz konusu açıklar sunucu yazılımında bulunduğundan, bireysel internet kullanıcılarının telefonlarına veya tarayıcılarına PHP güncellemesi yüklemesi gerekmiyor.
(AEK)
