Siber Güvenlik Başkanlığı'ndan PHP'deki İki Kritik Açık İçin Ulusal Uyarı

Siber Güvenlik Başkanlığı, web uygulamalarında yaygın kullanılan PHP programlama dilinde bulunan iki kritik güvenlik açığına karşı ulusal düzeyde önlem aldı. Başkanlık, ülke genelinde güvenlik taramalarını başlattığını ve ilgili kurum ve kuruluşlara acil bildirim gönderdiğini açıkladı.

Başkanlık, 21 Ekim 2026 tarihli ve TR-26-1372 kodlu güvenlik bildiriminde CVE-2026-109618 ile CVE-2026-109619 numaralı açıklara dikkat çekti. Açık kaynaklardaki bilgilere dayanan bildirime göre güvenlik araştırmacıları bu açıklara "php2shell" adını veriyor. Açıklar, uzaktan kod çalıştırma (RCE) saldırılarına imkân tanıyabiliyor.

Verilerin gizliliği ve hizmet sürekliliği risk altında

Bildirimde, açıkların başarıyla istismar edilmesi hâlinde PHP tabanlı uygulamaların çalıştığı sistemlerde yetkisiz kod çalıştırılabileceği belirtildi. Saldırganların, uygulamanın sahip olduğu yetkiler ölçüsünde sistem kaynaklarına ulaşabileceği vurgulandı. Bunun, uygulama verilerinin gizliliğini ve bütünlüğünü zedeleyebileceği, hizmetlerin kesintiye uğramasına da yol açabileceği değerlendirildi.

Açıklara ilişkin teknik ayrıntıların, PHP güvenlik ekibinin yayımlaması beklenen resmi duyuruyla netleşmesi bekleniyor.

Başkanlık, sosyal medya hesabından yaptığı paylaşımda şu ifadeleri kullandı:

"Dünya genelinde yaygın olarak kullanılan PHP yazılım altyapısında kritik güvenlik açıkları tespit edilmiştir. Başkanlığımız, söz konusu zafiyetlerin oluşturabileceği risklerin erken tespiti ve olası etkilerinin sınırlandırılması amacıyla ulusal ölçekte güvenlik taramalarını başlatmış, ilgili kurum ve kuruluşlara acil güvenlik bildirimlerini iletmiştir."

"Kamu kurumlarımızın, kritik altyapı işletmecilerimizin ve özel sektör kuruluşlarımızın sistemlerini gözden geçirerek gerekli güvenlik güncellemelerini ivedilikle uygulamaları önem taşımaktadır."

Başkanlık ayrıca dijital altyapının güvenliği ve kritik hizmetlerin kesintisiz sürmesi için ulusal düzeydeki koordinasyon ve önleyici çalışmaların devam ettiğini bildirdi.

Kurumlardan istenen önlemler

Bildirimde, PHP tabanlı uygulamaları kullanan kurumların riski azaltmak için atması gereken adımlar da sıralandı:

Üretici resmi güvenlik güncellemesini yayımladıktan sonra açıktan etkilenen sistemler tespit edilmeli ve bu sistemler vakit kaybetmeden üreticinin sunduğu güvenli sürümlere yükseltilmeli.

Yönetim arayüzlerine ve kritik PHP servislerine dışarıdan erişim, güvenlik duvarı ve erişim kontrol listesi (ACL) kurallarıyla yalnızca güvenilir ve yetkili IP adresleriyle sınırlandırılmalı.

Yurt dışından erişilmesine gerek olmayan sistemler de derhal uluslararası trafiğe kapatılmalı.

Başkanlık, bildirimde teknik kaynak olarak PHP'nin resmi güvenlik duyurularını, desteklenen sürüm listesini ve değişiklik kayıtlarını gösterdi. Kaynaklar arasında The Hacker News'in konuyla ilgili haberi de yer aldı.

PHP, internet sitelerinin ve web uygulamalarının önemli bir kısmında kullanılan sunucu taraflı bir programlama dili. CVE kodları ise kamuya açıklanan güvenlik açıklarına uluslararası katalogda verilen standart tanımlayıcılar. Cumhurbaşkanlığına bağlı olarak kurulan Siber Güvenlik Başkanlığı, ülkenin siber güvenlik politikalarının koordinasyonundan sorumlu.