PHP açıkları kamu hizmetlerinde kesintilere neden oldu
PHP programlama dilinde bulunan iki kritik güvenlik açığı, 21 Ekim 2026’da çok sayıda ülkenin kamu kurumları ve internet sitesi yöneticilerini acil tedbir almaya yöneltti. Açıkların uzaktan kod çalıştırmaya imkân verebileceği uyarısı üzerine Hollanda, Finlandiya, Fransa, Almanya, Belçika, Danimarka, Norveç ve Japonya’da çeşitli kamu hizmetleri ile kurum sitelerine erişim kısıtlandı.
Hollanda’da vatandaşların vergi, sağlık sigortası ve sosyal güvenlik işlemlerinde kullandığı DigiD ile resmî yazışma portalı MijnOverheid geçici olarak kapatıldı. Hollanda hükümeti, hizmetlerin sistem güvenliği doğrulandıktan sonra yeniden açılacağını bildirdi. Temsilciler Meclisi, Ulusal Siber Güvenlik Merkezi, Rotterdam Limanı, bazı hastaneler ve siyasi partilere ait siteler de tedbirlerden etkilendi.
Finlandiya kamuya açık çevrim içi hizmetlerinin bir bölümünü durdururken Fransa’da Paris Emniyet Müdürlüğü dahil bazı kurumların siteleri erişime kapatıldı. Almanya’da bazı federal siteler, Belçika’da ise Dışişleri Bakanlığının internet hizmetleri önlem amacıyla çevrim dışı bırakıldı. Japonya’da uzun süreli bakım hizmetleri sağlayıcılarının iletişim bilgilerini içeren bir bilgi paylaşım sistemi de geçici olarak askıya alındı.
Açıklar sunucularda uzaktan kod çalıştırabiliyor
CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlanan açıkların risk seviyesi, uluslararası CVSS ölçeğinde 10 üzerinden 9,2 olarak açıklandı. Güvenlik kurumları, saldırganların belirli koşullarda kullanıcı adı, parola veya mevcut bir kullanıcı hesabı olmadan internete açık ve savunmasız PHP sunucularında komut çalıştırabileceği uyarısını yaptı.
Yetkisiz kod çalıştırma, saldırganların sunucu dosyalarına ve veri tabanlarına erişmesi, zararlı yazılım yüklemesi, internet sayfalarını değiştirmesi veya sistem denetimini ele geçirmesi riskini doğuruyor. İnternetten gelen talepleri işleyen PHP kurulumlarının etkilenebileceği belirtildi.
PHP; WordPress, Drupal, Joomla ve Magento gibi yaygın içerik ve e-ticaret platformlarında kullanılıyor. Kullanılan sunucu tarafı programlama dili belirlenebilen siteler arasında PHP’nin payı yaklaşık yüzde 70 seviyesinde bulunuyor. Ancak oran, internet sitelerinin yüzde 70’inin saldırıya uğradığı ya da tüm PHP kurulumlarının aynı düzeyde risk taşıdığı anlamına gelmiyor.
Bazı güvenlik şirketleri açıkları hedef alan ilk saldırı girişimlerinin görüldüğünü bildirdi. Buna karşılık ABD’nin siber güvenlik kurumu, uyarının yayımlandığı aşamada açıkların kötüye kullanıldığına dair doğrulanmış bir bulgu olmadığını açıkladı. Finlandiya ve Almanya’daki yetkililer de sitelerin doğrulanmış bir saldırı nedeniyle değil, koruyucu tedbir kapsamında kapatıldığını duyurdu.
Güncelleme paketleri yayımlandı, kurumlara uyarı yapıldı
PHP geliştiricileri, açıkları gidermek amacıyla 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerini yayımladı. PHP Foundation, kuruluşlardan güncellemeleri gecikmeden yüklemelerini istedi. Güncellemeyi hemen uygulayamayan kurumlara ise etkilenen internet siteleri ve sistemleri güvenlik önlemleri tamamlanana kadar çevrim dışı tutma tavsiyesi verildi.
FBI ve NSA, kuruluşların internetten erişilebilen PHP sunucularını ve PHP içeren üçüncü taraf ürünleri önceliklendirmesini istedi. Kurumların web sunucusu günlüklerini incelemesi, beklenmedik komut kabuğu çalıştırma, dosya indirme ve olağandışı ağ hareketleri gibi belirtileri izlemesi önerildi.
Bir ihlal şüphesi halinde etkilenen sistemlerin ağdan ayrılması, günlük kayıtlarının korunması ve olay incelemesi yapılması gerektiği bildirildi. Eski PHP sürümlerini çalıştıran sistemlerin güncel desteklenen sürümlere geçirilmesi de risk azaltma adımları arasında yer aldı.
Yapay zeka destekli araştırma açıkları ortaya çıkardı
Araştırmacılar, PHP kaynak kodundaki hata grubunu yapay zeka desteğiyle yürütülen analizlerde belirledi. İlk bulgular ağustosta bildirildi; ardından farklı araştırma ekipleri ikinci açık ve farklı istismar yöntemleri üzerinde çalıştı. Açıkların ayrıntılarının 20 Ekim’de internete sızdığı yönündeki bilgiler üzerine, başlangıçta daha ileri bir tarih için planlanan güncelleme erkene çekildi.
Araştırmalar, kodda uzun süredir bulunan bellek yönetimi sorunlarının saldırı için kullanılabileceğini gösterdi. Güvenlik uzmanları, yamaların yayımlanmasından sonraki dönemi kritik görüyor: Sistem yöneticileri güncellemeleri test edip kurmaya çalışırken saldırganlar da yayımlanan yamaları inceleyerek istismar yöntemi geliştirebilir.
PHP Foundation, açıkların birine ilişkin ilk işaretlerin 2024’te fark edildiğini, ancak o aşamada somut bir saldırı yöntemi bulunamadığını açıkladı. Kuruluş, düzeltmedeki gecikmede karar alma mekanizmaları ve kaynak yetersizliğinin etkili olduğunu kabul etti. Gelişme, yaygın açık kaynak yazılımlarda sürdürülebilir güvenlik denetiminin önemini yeniden gündeme taşıdı.
Türkiye’deki sistemler için güncelleme önceliği
Türkiye’de PHP kullanan kamu kurumları, şirketler, e-ticaret siteleri ve içerik yönetim sistemleri için öncelik; kullanılan sürümü tespit etmek, yayımlanan güvenlik paketini kurmak ve güncelleme sonrasında kayıtları incelemek olmalı. İnternete açık sunucular ile müşteri, ödeme veya kişisel veri işleyen uygulamalar daha yüksek öncelikle değerlendirilmelidir.
Güncelleme öncesinde yedek alma, test ortamında uyumluluk kontrolü ve uygulama sonrasında hizmet doğrulaması, kesinti riskini sınırlayabilir. Güvenlik ekiplerinin yalnızca ana internet sitesini değil, alt alan adlarını, yönetim panellerini ve üçüncü taraf yazılımların PHP bileşenlerini de envantere dahil etmesi gerekiyor.
Sıkça Sorulanlar
PHP'deki güvenlik açıkları neden kritik kabul ediliyor?
PHP açıkları, belirli koşullarda saldırganların kullanıcı adı ve parola olmadan savunmasız sunucularda uzaktan kod çalıştırmasına izin verebilir. Risk; veri hırsızlığı, zararlı yazılım yüklenmesi ve sunucu denetiminin ele geçirilmesini içeriyor.
Hollanda'da hangi dijital hizmetler erişime kapatıldı?
Hollanda'da dijital kimlik sistemi DigiD ve vatandaşların kamu kurumlarından gelen yazışmalarını gördüğü MijnOverheid portalı geçici olarak kapatıldı. Hizmetlerin güvenlik doğrulamasından sonra yeniden açılması planlanıyor.
PHP kullanıcıları hangi sürümlere güncelleme yapmalı?
PHP geliştiricileri açıkları gidermek için 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerini yayımladı. Kurumların kullandıkları desteklenen sürüm dalına ait güncellemeyi uygulaması gerekiyor.
Açıkların aktif olarak kullanıldığı doğrulandı mı?
Bazı güvenlik şirketleri ilk saldırı girişimlerinin görüldüğünü bildirdi. ABD'nin siber güvenlik kurumu ise uyarı yayımlandığı sırada açıkların kötüye kullanıldığına dair doğrulanmış bir bulgu olmadığını açıkladı.
Güncelleme hemen yapılamıyorsa ne yapılmalı?
Güncellemeyi hemen yükleyemeyen kuruluşların etkilenen PHP sistemlerini geçici olarak çevrim dışı tutması öneriliyor. İhlal şüphesinde sistemler ağdan ayrılmalı ve web sunucusu ile PHP günlük kayıtları incelenmek üzere korunmalıdır.