Türkiye, internet altyapısında yaygın biçimde kullanılan PHP programlama dilinde ortaya çıkarılan kritik güvenlik açıklarına karşı ulusal önlemleri devreye aldı. T.C. Siber Güvenlik Başkanlığı, 21 Ekim tarihli TR-26-1372 numaralı bildiriminde “PHP2Shell” adıyla anılan CVE-2026-109618 ve CVE-2026-109619 açıklarının kimlik doğrulaması olmadan uzaktan kod çalıştırmaya yol açabileceğini duyurdu. Başkanlık, kamu kurumları, kritik altyapı işletmecileri ve özel sektör kuruluşlarından PHP tabanlı sistemlerini belirleyerek güvenli sürümlere gecikmeden geçmelerini istedi.
PHP, sunucu tarafında çalışan ve çok sayıda internet sitesi ile kurumsal uygulamanın dinamik içeriğini üreten temel bileşenlerden biri. Bu nedenle sorun belirli bir internet sitesinin eklentisiyle sınırlı değil; doğrudan PHP çalışma ortamını kullanan farklı yazılımlar ve hizmetler için değerlendirilmesi gerekiyor. Açığın geniş bir ekosistemi ilgilendirmesi, varlık envanteri ile sürüm doğrulamasını ilk savunma adımı hâline getiriyor.
Resmî bildirime göre başarılı bir istismar, saldırganın etkilenen uygulamanın yetkileri ölçüsünde sistem kaynaklarına erişmesine imkân verebilir. Bu senaryo uygulama verilerinin gizliliğini ve bütünlüğünü, ayrıca dijital hizmetlerin sürekliliğini riske atıyor. Kurumlara yalnızca yazılım güncellemesi değil, yönetim arayüzleriyle kritik PHP servislerine dış erişimi güvenlik duvarı veya erişim kontrol listeleriyle güvenilir IP adresleriyle sınırlandırma çağrısı da yapıldı. Yurt dışından erişim ihtiyacı bulunmayan sistemler için uluslararası trafiğin kapatılması önerildi.
TRT Haber’in aktardığına göre Siber Güvenlik Başkanlığı koordinasyonunda ulusal ölçekte ağ taramaları ve teknik izleme süreçleri başlatıldı; Siber Olaylara Müdahale Ekipleriyle koordinasyon 7 gün 24 saat sürüyor. Aynı açıklamada 69 milyondan fazla kullanıcısı bulunan e-Devlet Kapısı üzerinde yapılan teknik kontrollerde kamu hizmetlerinin güvenliği veya sürekliliğini olumsuz etkileyen bir soruna rastlanmadığı belirtildi. Bu sonuç, riskin ortadan kalktığı anlamına gelmiyor; kurumların eski PHP bileşenlerini tespit edip güncellemeleri isteniyor.
Uluslararası teknik değerlendirmeler tehdidin boyutunu doğruluyor. CERT-EU, iki açığın her birine 10 üzerinden 9,2 önem puanı verildiğini ve web isteği kabul eden PHP kurulumlarının etkilenebileceğini bildirdi. CVE-2026-109618, bellek yetersizliği işlenirken ortaya çıkan bellek bozulmasıyla; CVE-2026-109619 ise bir isteğin ardından kalan eski küresel durumun sonraki istekte kullanılabilmesiyle ilişkilendiriliyor. PHP-FPM, Apache üzerindeki mod_php, php-cgi, FrankenPHP ve LiteSpeed gibi farklı çalışma biçimleri risk kapsamında sayılıyor.
PHP projesi iki açığı kapatan 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. CERT-EU, daha eski 8.1 ve altı dalların artık PHP projesinden düzenli güncelleme almadığını, bu nedenle dağıtım veya uzun süreli destek sağlayıcısının geriye dönük yama sunup sunmadığının kontrol edilmesi gerektiğini vurguladı. Kurum, güncellemenin hemen uygulanamadığı internete açık varlıkların yama yüklenip doğrulanana kadar ağdan ayrılmasını tavsiye etti. Geçici ayarlar belirli saldırı yollarını azaltabilse de tam çözümün güvenli sürüme geçiş olduğu belirtildi.
CERT-EU’nun 23 Ekim güncellemesi, alışılmadık biçimde yapılandırılmış web uygulamalarını etkileyebilecek CVE-2026-115560 numaralı üçüncü bir uzaktan kod çalıştırma riskine de işaret etti. PHP bu sorun için olağan takvim dışında yeni bir sürüm yayımlamayacak; kurumlara bir sonraki düzenli sürüme kadar oturum yükleme ilerleme özelliğini devre dışı bırakıp tüm çalışan süreçleri yeniden başlatma önerildi. Bu yeni başlık, Türkiye’deki ilk bildirimin kapsadığı iki kritik açıktan ayrı değerlendiriliyor.
Reuters’a konuşan siber güvenlik uzmanları, yapay zekâ destekli araçların hem açık bulma hem de açıklardan yararlanma süresini kısalttığı konusunda birleşiyor. PHP açıklarının duyurulmasının ardından bazı küresel kamu siteleri yama sürecinde geçici olarak çevrimdışı kaldı. Türkiye açısından öncelik, internete açık PHP varlıklarının envanterini tamamlamak, güvenli sürümleri veya üretici yamalarını uygulamak, servisleri yeniden başlatmak ve sonrasında sürüm ile yapılandırma kontrollerini doğrulamak. Kullanıcıların bireysel olarak yapacağı bir işlemden çok, kurumların sistem yönetimi ve barındırma sağlayıcılarının hızlı müdahalesi belirleyici olacak.
