PHP açıkları kamu hizmetlerinde kesintilere neden oldu
PHP programlama dilindeki iki kritik açık için yayımlanan yeni tehdit istihbaratı, istismar girişimlerinin güvenlik duyurusundan önce başladığını gösterdi. Sensör kayıtlarında 17 Ekim 2026’dan itibaren görülen faaliyetlerin ardından, 21 Ekim’de güvenlik yamasının yayımlanmasıyla birlikte saldırı denemeleri hızlandı. Kuruluşlar, internet bağlantılı PHP sistemlerini korumak için hizmet kapatma, güncelleme ve inceleme çalışmalarını sürdürdü.
Hollanda’da vatandaşların vergi, sağlık sigortası ve sosyal güvenlik işlemlerinde kullandığı DigiD ile resmî yazışma portalı MijnOverheid geçici olarak kapatıldı. Hollanda hükümeti, hizmetlerin sistem güvenliği doğrulandıktan sonra yeniden açılacağını bildirdi. Temsilciler Meclisi, Ulusal Siber Güvenlik Merkezi, Rotterdam Limanı, bazı hastaneler ve siyasi partilere ait siteler de tedbirlerden etkilendi.
Finlandiya kamuya açık çevrim içi hizmetlerinin bir bölümünü durdururken Fransa’da Paris Emniyet Müdürlüğü dahil bazı kurumların siteleri erişime kapatıldı. Almanya’da bazı federal siteler, Belçika’da ise Dışişleri Bakanlığının internet hizmetleri önlem amacıyla çevrim dışı bırakıldı. Japonya’da uzun süreli bakım hizmetleri sağlayıcılarının iletişim bilgilerini içeren bir bilgi paylaşım sistemi de geçici olarak askıya alındı.
Birleşik Krallık’ta 32 kamu hizmetinin kullanılamadığı, dört hizmetin ise sınırlı çalıştığı açıklandı. Yetkililer, kesintilerin doğrulanmış bir ihlalden değil, güncelleme ve diğer koruma önlemlerinden kaynaklandığını bildirdi. Finlandiya’da da bazı kamu hizmetlerine yönelik tedbir amaçlı kısıtlamaların yamalama çalışmalarının ardından aşamalı olarak kaldırıldığı duyuruldu.
Açıklar sunucularda uzaktan kod çalıştırabiliyor
CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlanan açıkların risk seviyesi, uluslararası CVSS ölçeğinde 10 üzerinden 9,2 olarak açıklandı. Güvenlik kurumları, saldırganların belirli koşullarda kullanıcı adı, parola veya mevcut bir kullanıcı hesabı olmadan internete açık ve savunmasız PHP sunucularında komut çalıştırabileceği uyarısını yaptı.
Yeni telemetri verileri, 17 Ekim’de bir tuzak sisteme yönelik istismar denemesi saptandığını, 21 Ekim sabahından itibaren ise farklı anonim altyapılar üzerinden ek denemeler görüldüğünü ortaya koydu. Güvenlik yaması ve teknik ayrıntılar yayımlandıktan sonra hazırlanan kavram kanıtı kodlarının kısa sürede kullanıldığı bildirildi. Gözlenen her denemenin gerçek sistemlerde başarılı ihlale dönüştüğü henüz net değil; ancak açıkların internette aktif biçimde hedef alındığı değerlendiriliyor.
Yetkisiz kod çalıştırma, saldırganların sunucu dosyalarına ve veri tabanlarına erişmesi, zararlı yazılım yüklemesi, internet sayfalarını değiştirmesi veya sistem denetimini ele geçirmesi riskini doğuruyor. İnternetten gelen talepleri işleyen PHP kurulumlarının etkilenebileceği belirtildi.
PHP; WordPress, Drupal, Joomla ve Magento gibi yaygın içerik ve e-ticaret platformlarında kullanılıyor. Kullanılan sunucu tarafı programlama dili belirlenebilen siteler arasında PHP’nin payı yaklaşık yüzde 70 seviyesinde bulunuyor. Ancak oran, internet sitelerinin yüzde 70’inin saldırıya uğradığı ya da tüm PHP kurulumlarının aynı düzeyde risk taşıdığı anlamına gelmiyor.
Güncelleme paketleri yayımlandı, kurumlara uyarı yapıldı
PHP geliştiricileri, açıkları gidermek amacıyla 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerini yayımladı. PHP Foundation, kuruluşlardan güncellemeleri gecikmeden yüklemelerini istedi. Güncellemeyi hemen uygulayamayan kurumlara ise etkilenen internet siteleri ve sistemleri güvenlik önlemleri tamamlanana kadar çevrim dışı tutma tavsiyesi verildi.
FBI ve NSA, kuruluşların internetten erişilebilen PHP sunucularını ve PHP içeren üçüncü taraf ürünleri önceliklendirmesini istedi. Kurumların web sunucusu günlüklerini incelemesi, beklenmedik komut kabuğu çalıştırma, dosya indirme ve olağandışı ağ hareketleri gibi belirtileri izlemesi önerildi.
Tam koruma için yamalı sürüme geçiş gerekiyor. Güncellemenin hemen yapılamadığı PHP kurulumlarında çok parçalı dosya yüklemelerinin geçici olarak engellenmesi değerlendirilebilir. Kurumların, uygulama üzerindeki etkileri test ederek web uygulaması güvenlik duvarı kuralları ve erişim kısıtlamaları gibi ek önlemler uygulaması da öneriliyor.
Bir ihlal şüphesi halinde etkilenen sistemlerin ağdan ayrılması, günlük kayıtlarının korunması ve olay incelemesi yapılması gerektiği bildirildi. İncelemelerin en az 17 Ekim 2026’dan başlayan kayıt dönemini kapsaması, şüpheli işlem çalıştırma ve beklenmedik dosya değişikliklerine odaklanması isteniyor.
Yapay zeka destekli araştırma açıkları ortaya çıkardı
Araştırmacılar, PHP kaynak kodundaki hata grubunu yapay zeka desteğiyle yürütülen analizlerde belirledi. İlk bulgular ağustosta bildirildi; ardından farklı araştırma ekipleri ikinci açık ve farklı istismar yöntemleri üzerinde çalıştı. Açıkların ayrıntılarının 20 Ekim’de internete sızdığı yönündeki bilgiler üzerine, başlangıçta daha ileri bir tarih için planlanan güncelleme erkene çekildi.
Araştırmalar, kodda uzun süredir bulunan bellek yönetimi sorunlarının saldırı için kullanılabileceğini gösterdi. Güvenlik uzmanları, yamaların yayımlanmasından sonraki dönemi kritik görüyor: Sistem yöneticileri güncellemeleri test edip kurmaya çalışırken saldırganlar da yayımlanan yamaları inceleyerek istismar yöntemi geliştirebilir.
PHP Foundation, açıkların birine ilişkin ilk işaretlerin 2024’te fark edildiğini, ancak o aşamada somut bir saldırı yöntemi bulunamadığını açıkladı. Kuruluş, düzeltmedeki gecikmede karar alma mekanizmaları ve kaynak yetersizliğinin etkili olduğunu kabul etti. Gelişme, yaygın açık kaynak yazılımlarda sürdürülebilir güvenlik denetiminin önemini yeniden gündeme taşıdı.
Türkiye’deki sistemler için güncelleme önceliği
Türkiye’de PHP kullanan kamu kurumları, şirketler, e-ticaret siteleri ve içerik yönetim sistemleri için öncelik; kullanılan sürümü tespit etmek, yayımlanan güvenlik paketini kurmak ve güncelleme sonrasında kayıtları incelemek olmalı. İnternete açık sunucular ile müşteri, ödeme veya kişisel veri işleyen uygulamalar daha yüksek öncelikle değerlendirilmelidir.
Güncelleme öncesinde yedek alma, test ortamında uyumluluk kontrolü ve uygulama sonrasında hizmet doğrulaması, kesinti riskini sınırlayabilir. Güvenlik ekiplerinin yalnızca ana internet sitesini değil, alt alan adlarını, yönetim panellerini ve üçüncü taraf yazılımların PHP bileşenlerini de envantere dahil etmesi gerekiyor.
Sıkça Sorulanlar
PHP2Shell açıkları nelerdir?
PHP2Shell, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlanan iki kritik PHP güvenlik açığı için kullanılan addır. Açıklar, belirli koşullarda kimlik doğrulama olmadan uzaktan kod çalıştırma riski taşıyor.
PHP2Shell istismar girişimleri ne zaman tespit edildi?
Güvenlik sensörlerinde PHP2Shell’e yönelik bir istismar girişimi 17 Ekim 2026 tarihinde tespit edildi. Açıklamanın ve güvenlik yamasının yayımlandığı 21 Ekim’de farklı altyapılardan gelen girişimler arttı.
PHP açıkları nedeniyle hangi hizmetler kesintiye uğradı?
Hollanda’daki DigiD ve MijnOverheid gibi kamu hizmetleri ile Birleşik Krallık, Finlandiya, Fransa, Japonya ve başka ülkelerdeki bazı kamu ve şirket hizmetleri tedbir amacıyla geçici olarak kısıtlandı. Kesintilerin önemli bölümü yama ve güvenlik kontrolleri için uygulandı.
PHP kullanan kuruluşlar hangi adımları atmalı?
Kuruluşlar öncelikle internete açık PHP sunucularını belirlemeli ve desteklenen yamalı sürümlere geçmelidir. Güncellenemeyen sistemler geçici olarak erişime kapatılmalı, en az 17 Ekim’den itibaren günlük kayıtları şüpheli işlem ve dosya değişiklikleri için incelenmelidir.