PHP'de Kritik Güvenlik Açığı: Siber Güvenlik Başkanlığı Alarm Verdi

Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, dünya genelinde internet siteleri ve kurumsal uygulamalarda kullanılan PHP yazılım altyapısında tespit edilen kritik güvenlik açıklarına karşı ulusal ölçekte tarama başlattı. “PHP2Shell” olarak adlandırılan zafiyetlerin, belirli koşullarda saldırganların uzaktan kod çalıştırmasına olanak tanıyabileceği belirtilirken kamu kurumları, kritik altyapı işletmecileri ve özel sektöre sistemlerini gözden geçirerek güvenlik güncellemelerini gecikmeden uygulama çağrısı yapıldı.

Başkanlığın 21 Ekim 2026 tarihli açıklamasının ardından ilgili kurum ve kuruluşlara acil güvenlik bildirimleri iletildi. PHP'nin geliştirme ekibi de iki kritik güvenlik açığını gidermek üzere güncellemeler yayımladı. Açıkların olası etkileri arasında yetkisiz erişim, veri güvenliğinin ihlali ve dijital hizmetlerin kesintiye uğraması bulunuyor. 

PHP'de tespit edilen güvenlik açıkları ne anlama geliyor?

PHP, internet sitelerinin ve çevrim içi uygulamaların arka planında çalışan, dinamik web sayfaları oluşturmak için kullanılan bir programlama dilidir. İçerik yönetim sistemlerinden kullanıcı girişlerine, form işlemlerinden veri tabanı bağlantılarına kadar pek çok işlevde kullanılabilir.

PHP altyapısındaki kritik güvenlik açıkları, bu yazılımı kullanan ve etkilenen yapılandırmalara sahip sistemleri siber saldırılara karşı savunmasız bırakabilir. Siber Güvenlik Başkanlığının uyarısında öne çıkan PHP2Shell zafiyetleri, belirli koşullar altında kullanıcı kimlik doğrulaması olmadan uzaktan kod çalıştırılması riskini taşıyor.

Uzaktan kod çalıştırma olarak bilinen bu tür bir güvenlik sorunu, saldırganın hedef sistemde yetkisiz komutlar veya kodlar çalıştırabilmesine yol açabilir. Olası sonuçlar, sistemin yapılandırmasına ve saldırganın elde edebileceği erişim düzeyine göre değişebilir.

Bu nedenle güvenlik açığının yalnızca bir internet sitesinin çalışmasını etkileyen teknik bir sorun olarak değerlendirilmemesi gerekiyor. Etkilenen sistemlerde verilerin gizliliği, hizmetlerin sürekliliği ve diğer sistemlere erişim güvenliği de risk altına girebilir.

Siber Güvenlik Başkanlığı ulusal ölçekte tarama başlattı

Siber Güvenlik Başkanlığı, kritik güvenlik açıklarının oluşturabileceği riskleri erken tespit etmek ve olası etkilerini sınırlandırmak amacıyla Türkiye genelinde güvenlik taramalarını devreye aldı.

Açıklamaya göre; kamu kurumları, kritik altyapı işletmecileri ve özel sektör kuruluşları başta olmak üzere ilgili taraflara acil güvenlik bildirimleri gönderildi. Kurumların sistemlerini gözden geçirmesi ve gerekli güvenlik güncellemelerini uygulaması istendi.

Siber güvenlik çalışmalarının temel hedefleri arasında etkilenen sistemlerin belirlenmesi, olası saldırı risklerinin azaltılması ve kritik dijital hizmetlerin kesintisiz sürdürülmesi bulunuyor.

Başkanlık, ulusal düzeyde koordinasyon ve önleyici güvenlik çalışmalarının devam ettiğini bildirdi. Kurum ve kuruluşların, alınması gereken teknik ve idari tedbirler için Başkanlığın resmi güvenlik duyurusunu takip etmesi önem taşıyor. 

PHP güvenlik açığı hangi sistemleri etkiliyor?

PHP güvenlik ekibinin 21 Ekim 2026'da yayımladığı resmi duyuruya göre, iki kritik zafiyet PHP'nin web isteklerini işleyen kurulumlarını etkileyebiliyor. Risk, kullanılan PHP sürümüne ve sunucunun yapılandırmasına bağlı olarak değişiyor.

PHP ekibi, söz konusu açıkları CVE-2026-109618 ve CVE-2026-109619 kodlarıyla duyurdu. Her iki zafiyetin de kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına yol açabileceği bildirildi.

PHP'nin resmi açıklamasında güvenlik güncellemesi yayımlanan sürümler şöyle sıralandı:

• PHP 8.5.12

• PHP 8.4.27

• PHP 8.3.36

• PHP 8.2.35

Bu sürümler, duyuruda belirtilen iki kritik güvenlik açığını gidermek üzere yayımlandı. Linux dağıtımları veya uzun süreli destek sunan sağlayıcılar üzerinden PHP kullanan sistem yöneticilerinin, kendi dağıtımlarının yayımladığı güncellemeleri de kontrol etmesi gerekiyor.

PHP 8.1 ve daha eski sürümler ise PHP projesinden düzenli güvenlik güncellemesi almıyor. Bazı dağıtım ve destek sağlayıcıları bu sürümlere yönelik düzeltmeler sunabildiğinden, kullanılan altyapının durumunun ayrıca incelenmesi gerekiyor.

Kurumlar ve internet sitesi yöneticileri ne yapmalı?

Siber Güvenlik Başkanlığının çağrısı doğrultusunda, PHP kullanan kurumların ve sistem yöneticilerinin öncelikle hangi sunucu ve uygulamaların etkilenen sürümleri çalıştırdığını belirlemesi gerekiyor.

Güvenlik açısından atılması gereken başlıca adımlar şunlar:

• PHP sürümünü kontrol edin: Sunucularda kullanılan sürümlerin güvenlik duyurusunda belirtilen etkilenen sürümler arasında olup olmadığını belirleyin.

• Güncellemeleri uygulayın: PHP'nin resmi güvenlik duyurusunu ve kullanılan işletim sistemi ya da barındırma sağlayıcısının bildirimlerini takip ederek uygun güvenlik düzeltmelerini yükleyin.

• İnternete açık sistemleri inceleyin: Dış erişime açık sunucu ve uygulamaların güvenlik durumunu değerlendirin.

• Erişimleri sınırlandırın: Gereksiz dış erişimleri kapatın; yönetim arayüzlerine ve kritik hizmetlere erişimi yetkili kullanıcılarla sınırlandırın.

• Güvenlik kayıtlarını gözden geçirin: Olası yetkisiz erişim belirtilerini tespit etmek için sistem kayıtlarını ve güvenlik uyarılarını inceleyin.

PHP ekibi, güvenlik güncellemesinin uygulanmasını temel çözüm olarak gösteriyor. Geçici yapılandırma önlemleri bazı saldırı yollarını sınırlayabilse de tek başına tam güvenlik sağlamıyor. Bu nedenle sistem yöneticilerinin yalnızca geçici önlemlere güvenmemesi gerekiyor. 

PHP güvenlik açığı internet sitelerini kapatacak mı?

PHP altyapısındaki güvenlik açıkları, PHP kullanan bütün internet sitelerinin otomatik olarak ele geçirildiği veya kapatılacağı anlamına gelmiyor. Risk, kullanılan sürüme, sunucu yapılandırmasına ve alınan güvenlik önlemlerine göre değişiyor.

Bununla birlikte, etkilenen ve gerekli düzeltmeleri uygulamayan sistemler için uzaktan saldırı ve yetkisiz erişim riski bulunuyor. Özellikle kamu hizmetleri, kritik altyapılar ve çevrim içi işlemler sunan kuruluşların güvenlik güncellemelerini geciktirmemesi önem taşıyor.

Siber Güvenlik Başkanlığı, PHP altyapısındaki kritik açıklar nedeniyle ulusal ölçekte güvenlik taramalarını başlattı. Kurum ve kuruluşların güncel güvenlik duyurularını takip ederek gerekli teknik tedbirleri alması ve sistemlerini güvenli sürümlere güncellemesi gerekiyor.