Dünya genelinde milyonlarca internet sitesinin ve dijital servisin omurgasını oluşturan PHP programlama dilinde tespit edilen iki kritik güvenlik açığı, küresel çapta siber güvenlik alarmına neden oldu. "PHP2Shell" olarak adlandırılan ve ciddiyet puanı 10 üzerinden 9,2 olarak belirlenen açıklar nedeniyle çok sayıda uluslararası kurum internet sitelerini tedbiren erişime kapatırken, Türkiye'de Siber Güvenlik Başkanlığı olası saldırıların önüne geçmek amacıyla ülke genelinde kapsamlı tarama başlattı.
Kimlik doğrulaması olmadan kod çalıştırılabiliyor
Teknik kayıtlarda CVE-2026-109618 ve CVE-2026-109619 kodlarıyla izlenen zafiyetler, PHP'nin bellek yönetimi ve hata anında işlemleri sonlandırma mimarisindeki bir kusurdan kaynaklanıyor. Yazılımın yarıda kalan bir işlem sırasında serbest bırakılmış bellek alanlarına yeniden başvurması, saldırganların sisteme sızmasına zemin hazırlıyor.
Açığın tehlike seviyesini artıran en temel etken, saldırı için herhangi bir kullanıcı adı, şifre veya site yöneticisinin zararlı bir bağlantıya tıklaması gibi kullanıcı etkileşimine ihtiyaç duyulmaması. Sitenin kendi yazılımı hatasız geliştirilmiş olsa dahi, üzerinde çalıştığı PHP altyapısı güncellenmediği takdirde sunucuda uzaktan yetkisiz kod çalıştırılabiliyor, veri tabanları ele geçirilebiliyor veya web sitesinin içeriği tümüyle değiştirilebiliyor.
WordPress, Drupal ve Joomla kullanan milyonlarca site risk kapsamında
PHP altyapısını kullanan dünyanın en yaygın içerik yönetim sistemleri doğrudan risk grubunda yer alıyor. Siber güvenlik araştırmacıları, WordPress, Drupal, Joomla ve Wikipedia altyapısını oluşturan MediaWiki üzerinde çalışan saldırı senaryolarını başarıyla test etti.
Barındırma hizmeti sağlayıcılarının güvenlik politikaları ise riski belirleyen temel unsur konumunda. Örneğin Automattic şirketi; WordPress.com, WordPress VIP, WP Cloud, Pressable veya Tumblr altyapısında barındırılan sitelerin merkezi olarak korunduğunu bildirdi. Ancak harici sunucularda, bağımsız hosting firmalarında veya şirketlerin kendi bünyelerinde barındırılan bağımsız WordPress siteleri için risk devam ediyor.
BBC, Wikimedia ve hükümet siteleri çevrimdışı
Güvenlik yamalarını altyapılarına hemen entegre edemeyen pek çok uluslararası kuruluş, sistemlerini korumak için internet sayfalarını geçici olarak erişime kapattı. Wikimedia, bazı kritik dijital sistemlerini tedbiren devre dışı bıraktı. Finlandiya hükümeti, resmi kamu portallarından bazılarını çevrimdışı konuma getirdi.
Birleşik Krallık'ta BBC, Edinburgh Belediyesi, İskoçya'daki bazı yerel yönetimler ve sağlık kuruluşları dijital servislerini geçici olarak durdurdu.
Yetkililer, bu kapatma işlemlerinin başarılı bir veri sızıntısından değil, yamalar yüklenene kadar sistemleri olası saldırılardan yalıtma amacından kaynaklandığını bildirdi. ABD Ulusal Güvenlik Ajansı (NSA) ve Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC), acil güncelleme yapamayan tüm kurumlara sistemlerini yama uygulanana kadar çevrimdışı tutmalarını tavsiye etti.
Siber Güvenlik Başkanlığı'ndan Türkiye genelinde acil tarama
Küresel krizin ardından Türkiye'de de hızla harekete geçildi. Siber Güvenlik Başkanlığı, kamu kurumlarına, kritik altyapı işletmecilerine ve özel sektör kuruluşlarına acil kodlu uyarı bildirimleri iletti.
Ülke genelindeki dijital varlıklarda zafiyet barındıran sunucuların erkenden tespiti için tarama operasyonu başlatılırken, Başkanlık tarafından yapılan resmi açıklamada şu uyarılara yer verildi:
"Kamu kurumlarımızın, kritik altyapı işletmecilerimizin ve özel sektör kuruluşlarımızın sistemlerini gözden geçirerek gerekli güvenlik güncellemelerini ivedilikle uygulamaları önem taşımaktadır."
Başlatılan ulusal taramanın herhangi bir veri sızıntısı tespitinden kaynaklanmadığı, koruyucu ve önleyici tedbir amaçlı yürütüldüğü kaydedildi.
Yapay zekânın rolü ve PHP Vakfı'nın özeleştirisi
Siber güvenlik firmaları Calif ve Wiz uzmanları, PHP kodlarındaki zafiyetleri analiz etmek ve karmaşık saldırı vektörlerini modellemek için yapay zekâ araçlarından faydalandı. Araştırma sonuçları, yapay zekânın saldırı mekanizmalarının keşif süresini kayda değer ölçüde kısalttığını ortaya koydu.
Öte yandan açıkların geçmişinin 2024 yılına kadar uzandığı belirlendi. PHP Vakfı tarafından paylaşılan teknik değerlendirmede, bellek hatasının ilk işaretlerinin iki yıl önce fark edildiği ancak uzaktan istismar riskinin somutlaştırılamaması, yamaların uyumluluk riski taşıması ve sınırlı insan kaynağı sebebiyle sürecin aksadığı kabul edildi. Vakıf, düzeltmenin gecikmesini "yapısal bir başarısızlık" olarak değerlendirdi.
Yöneticiler ve kullanıcılar hangi adımları atmalı?
Güvenlik uzmanları, sistem yöneticilerine ve internet kullanıcılarına tavsiyelerde bulundu. Zafiyetleri gideren resmi kararlı sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 olarak ilan edildi. Kendi sunucusunu yöneten kuruluşların ilgili güncellemeleri ivedilikle kurması gerekiyor.
Site sahiplerinin yalnızca CMS yazılımlarını veya eklentilerini güncellemeleri yeterli olmuyor; sunucudaki temel PHP çalışma ortamının da yamalanması zorunlu.
Bireysel internet kullanıcılarının kendi cihazlarına yüklemesi gereken bir yazılım bulunmuyor. Ancak siber dolandırıcıların PHP açığı kaynaklı panik ortamını kullanarak "şifrenizi sıfırlayın" başlıklı sahte e-postalar gönderebileceği, bu tür şüpheli bağlantılara tıklanmaması gerektiği belirtiliyor.
