Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, dünya genelinde internet sitelerinin ve kurumsal uygulamaların altyapısında yaygın olarak kullanılan PHP programlama dilinde tespit edilen iki kritik güvenlik açığına karşı ulusal düzeyde önleyici tedbirleri devreye aldı. Güvenlik araştırmacıları tarafından "PHP2Shell" olarak adlandırılan ve uzaktan kod çalıştırılmasına olanak tanıyan zafiyetler nedeniyle, Türkiye genelindeki kamu kurumları, kritik altyapı işletmecileri ve özel sektör kuruluşlarına acil güvenlik bildirimleri gönderildi. Başkanlık, 69 milyonu aşkın kullanıcısı bulunan e-Devlet Kapısı'nda yapılan incelemelerde ise hizmet güvenliğini tehdit eden herhangi bir soruna rastlanmadığını açıkladı.
Neler oldu?
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, 21 Ekim 2026 tarihinde yayımladığı "TR-26-1372" kodlu güvenlik bildirimiyle, PHP yazılım altyapısını etkileyen iki kritik güvenlik zafiyeti tespit edildiğini duyurdu. Açık kaynaklarda "CVE-2026-109618" ve "CVE-2026-109619" kodlarıyla tanımlanan bu açıkların, belirli koşullar altında saldırganların kullanıcı kimlik doğrulaması (kullanıcı adı veya şifre) yapmaksızın sistemlerde uzaktan kod çalıştırmasına (RCE) imkan tanıdığı bildirildi.
Olası tehditlerin erken aşamada belirlenmesi ve etkilerinin sınırlandırılması amacıyla ulusal ölçekte güvenlik taramaları başlatıldı. Siber Olaylara Müdahale Ekipleri (SOME) İletişim Platformu üzerinden ilgili tüm kurumlara ve kritik altyapı işletmecilerine acil duyurular iletilerek alınması gereken teknik ve idari önlemler paylaşıldı. Ayrıca Başkanlık, yurt dışından erişim ihtiyacı bulunmayan sistemlerin uluslararası internet trafiğine ivedilikle kapatılmasını tavsiye etti.
Kamuoyunda oluşan endişelerin ardından 22 Ekim'de Siber Güvenlik Başkanlığı tarafından yapılan ek açıklamada, 69 milyonu aşkın kullanıcıya hizmet veren e-Devlet Kapısı'nın durumuna açıklık getirildi. Platformda gerçekleştirilen detaylı teknik kontroller sonucunda hizmetlerin güvenliğini veya sürekliliğini olumsuz etkileyen herhangi bir bulguya rastlanmadığı kaydedildi. Açıklamada, e-Devlet Kapısı'nın vatandaş bilgilerini tek bir merkezde toplamak yerine kurum sistemleriyle güvenli bağlantılar kurarak çalıştığı ve çok katmanlı güvenlik tedbirleriyle 7 gün 24 saat izlendiği vurgulandı.
Arka plan
Sunucu tarafında çalışan ve dinamik web sayfalarının oluşturulmasını sağlayan açık kaynaklı programlama dili PHP, küresel internet altyapısının en temel bileşenleri arasında yer alıyor. Mevcut verilere göre, internet dünyasında kullanılan sunucu taraflı programlama dilleri arasında PHP yaklaşık yüzde 70'lik bir pazar payına sahip. Çevrimiçi mağazalardan haber sitelerine kadar dünyadaki tüm web sitelerinin yaklaşık yüzde 40'ına güç veren içerik yönetim sistemi WordPress ve Wikipedia gibi büyük platformlar da PHP altyapısını kullanıyor.
Küresel çapta alarma neden olan güvenlik açıkları, siber güvenlik firmaları Wiz ve Calif bünyesindeki araştırmacılar ile OpenAI uzmanlarının gelişmiş yapay zeka araçlarını kullanarak yürüttüğü incelemeler sonucunda keşfedildi. Araştırmacılar, söz konusu zafiyetlerin PHP altyapısında on yılı aşkın süredir fark edilmeden varlığını sürdürdüğünü belirtti. Avrupa Birliği Siber Güvenlik Kurumu (CERT-EU), açığın 2004 yılında piyasaya sürülen PHP 5 sürümünden itibaren tüm sürümleri etkileyebileceğine dikkat çekti.
Tehdidin ortaya çıkmasıyla birlikte uluslararası düzeyde birçok kurum acil önlemler almak zorunda kaldı. Çarşamba günü yayımlanan güvenlik yamasını anında uygulayamayan çok sayıda kuruluş, sistemlerini korumak amacıyla internet sitelerini geçici olarak erişime kapattı. Wikipedia'yı işleten Wikimedia Vakfı bazı sistemlerini güvenli şekilde güncellenene kadar devre dışı bırakırken, İskoçya'daki Edinburgh Belediyesi'nin resmi internet sitesi ve çeşitli medya kuruluşlarının çevrimiçi sayfaları geçici olarak çevrimdışı kaldı. ABD Ulusal Güvenlik Ajansı (NSA), güncellemeyi hemen yükleyemeyen kuruluşlara sistemlerini çevrimdışı duruma getirmeleri çağrısında bulundu.
Neden önemli?
İnternetin yüzde 70'ine yakınını oluşturan bir altyapının çekirdeğinde tespit edilen bu zafiyet, dünya genelinde milyonlarca sunucuyu doğrudan hedef haline getirme potansiyeli taşıyor. Açığın başarılı bir şekilde istismar edilmesi durumunda, saldırganlar etkilenen sistemlerde yetkisiz kod çalıştırabiliyor, veri tabanlarına doğrudan erişebiliyor ve uygulamanın sahip olduğu yetkiler ölçüsünde sunucular üzerinde tam kontrol sağlayabiliyor. Bu durum, kurumsal ve kişisel verilerin gizliliği ile dijital hizmetlerin kesintisiz sürdürülmesi açısından yüksek risk oluşturuyor.
Türkiye Yazılımcılar Federasyonu Genel Başkanı Mustafa Çalış, yaşanan gelişmenin son 10 yılın en büyük siber güvenlik krizlerinden biri olarak kabul edildiğini belirtti. Krizin dijital altyapıların ne kadar hassas dengeler üzerine kurulu olduğunu bir kez daha gösterdiğini ifade eden Çalış, Türkiye'deki kamu kurumlarında ve kritik altyapı yöneten şirketlerde hızlıca bir "siber güvenlik seferberliği" başlatılması gerektiğini söyledi.
Uzmanlar, Türkiye açısından riskin boyutunun yalnızca PHP kullanımının yaygınlığıyla sınırlı olmadığına işaret ediyor. Kurumların yazılım envanterlerinin güncelliği, güvenlik açıklarına müdahale süreleri ve teknik denetim kapasiteleri, olası veri ihlallerinin önlenmesinde belirleyici faktörler olarak öne çıkıyor. Ayrıca siber güvenlik uzmanları, saldırganların da yapay zeka araçlarından faydalanarak bu açığı hedef alan saldırı kodlarını çok daha hızlı geliştirebileceği konusunda uyarıyor.
Bundan sonra ne olacak?
Teknik detayların kamuoyuna yansımasıyla birlikte, önümüzdeki günlerde yama uygulanmamış sistemlere yönelik siber saldırı girişimlerinin artması bekleniyor. Siber Güvenlik Başkanlığı ve sektör uzmanları, kamu kurumları ile özel sektör kuruluşlarının sistem yöneticilerine şu adımları ivedilikle atmaları yönünde çağrıda bulunuyor:
- İnternete açık tüm bilişim altyapılarının ve yazılım envanterlerinin acilen gözden geçirilmesi,
- PHP güvenlik ekibi ve üreticiler tarafından yayımlanan resmi güvenlik yamalarının vakit kaybetmeden sistemlere uygulanması,
- Desteği sona ermiş eski yazılım sürümlerinden güncel PHP sürümlerine geçiş yapılması,
- Yurt dışı erişim zorunluluğu bulunmayan sistemlerin uluslararası trafiğe kapatılması ve şüpheli erişim hareketlerinin 7/24 izlenmesi.
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, dijital altyapıların güvenliği ve kritik hizmetlerin sürekliliği için ulusal düzeyde koordinasyonun, güvenlik taramalarının ve teknik takip çalışmalarının kesintisiz sürdürüleceğini bildirdi.
