Dünya genelinde milyonlarca internet sitesi ve uygulamada kullanılan PHP yazılımında iki kritik güvenlik açığının ortaya çıkması üzerine Türkiye’de geniş çaplı güvenlik çalışmaları başlatıldı. Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, kamu kurumları ve özel sektör kuruluşlarına acil güvenlik bildirimleri gönderirken ülke genelindeki sistemleri taramaya başladı. PHP2Shell adı verilen açıklar, saldırganların belirli koşullarda şifreye ihtiyaç duymadan sunucularda zararlı kod çalıştırmasına imkân tanıyabiliyor.
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, 21 Ekim 2026 tarihinde PHP programlama dilinde ortaya çıkan güvenlik açıklarına ilişkin kapsamlı bir uyarı yayımladı. TR-26-1372 kodlu güvenlik bildiriminde, PHP2Shell adıyla tanımlanan iki kritik zafiyetin internet siteleri ve kurumsal uygulamalar açısından ciddi riskler taşıdığı belirtildi. Türkiye genelinde başlatılan güvenlik taramalarıyla birlikte kamu kurumlarına, kritik altyapı işletmecilerine ve özel şirketlere gerekli önlemleri almaları yönünde bildirimler iletildi.
Söz konusu güvenlik açıkları CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip ediliyor. Her iki zafiyet de CVSS 4.0 değerlendirmesinde 9,2 kritik önem derecesine sahip. Güvenlik açıklarının istismar edilmesi halinde saldırganlar, etkilenen sistemlerde kullanıcı kimlik doğrulamasını aşarak uzaktan kod çalıştırabiliyor ve uygulamanın sahip olduğu yetkiler doğrultusunda sunucu kaynaklarına erişebiliyor.
PHP2Shell açıklarının temelinde PHP’nin bellek yönetimiyle ilgili iki farklı hata bulunuyor. CVE-2026-109618, bellek yetersizliği sırasında oluşan hatalı bellek işlemlerinden kaynaklanırken CVE-2026-109619, serbest bırakılmış bellek alanlarına ilişkin eski durum bilgilerinin kullanılabilmesine dayanıyor. Güvenlik açıkları, belirli koşullarda normal uygulama kodu çalıştırılmadan önce bile tetiklenebiliyor.
PHP, özellikle WordPress, Drupal ve Joomla gibi içerik yönetim sistemlerinin yanı sıra çok sayıda kurumsal internet uygulamasının sunucu tarafındaki işlemlerinde kullanılıyor. Dolayısıyla güvenlik açıkları yalnızca belirli bir internet sitesini veya içerik yönetim sistemini değil, savunmasız PHP sürümleriyle çalışan farklı web altyapılarını da ilgilendiriyor. Ancak PHP kullanan her internet sitesinin saldırıya uğradığına veya verilerinin ele geçirildiğine ilişkin bir durum söz konusu değil.
Siber Güvenlik Başkanlığı, olası saldırılara karşı ulusal ölçekte başlatılan tarama faaliyetlerini sürdürüyor. Siber Olaylara Müdahale Ekipleri (SOME) İletişim Platformu üzerinden kurum ve kuruluşlara acil güvenlik duyuruları gönderildi. Sistem yöneticilerinden internete açık sunucularını kontrol etmeleri, kullanılmayan dış erişimleri sınırlandırmaları ve gerekli yazılım güncellemelerini gecikmeden yüklemeleri istendi.
Başkanlığın yayımladığı teknik bildirimde, kritik PHP servislerine ve yönetim panellerine yönelik erişimlerin güvenlik duvarı kurallarıyla yetkili IP adresleriyle sınırlandırılması gerektiği de belirtildi. Yurt dışından erişim ihtiyacı bulunmayan sistemlerde uluslararası bağlantıların kapatılması tavsiye edildi. Bu tür önlemler saldırı yüzeyini azaltabiliyor ancak güvenlik açıklarını tamamen ortadan kaldırmıyor.
PHP geliştiricileri, iki kritik güvenlik açığını gideren güncellemeleri 21 Ekim’de yayımladı. PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri söz konusu zafiyetlere karşı güvenlik düzeltmelerini içeriyor. PHP 8.1 ve daha eski sürümler ise PHP projesinin resmî güvenlik desteği dışında bulunuyor. Bu sürümleri kullanan sistemlerin desteklenen sürümlere geçirilmesi veya dağıtım sağlayıcılarının sunduğu güvenlik düzeltmelerinin uygulanması gerekiyor.
PHP güvenlik ekibi, yalnızca sunucu ayarlarının değiştirilmesinin veya belirli bağlantı türlerinin engellenmesinin yeterli koruma sağlamadığını vurguladı. PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed gibi farklı çalışma ortamları da güvenlik uyarısının kapsamına giriyor. Özellikle Apache mod_php yapılandırmasında, kimlik doğrulaması gerektirmeyen isteklerle güvenlik açığının tetiklenebildiği doğrulandı.
Türkiye’deki güvenlik çalışmalarının ardından e-Devlet Kapısı’na ilişkin incelemeler de tamamlandı. Siber Güvenlik Başkanlığı, 22 Ekim’de yaptığı açıklamada e-Devlet üzerinde gerçekleştirilen kontrollerde hizmetlerin güvenliğini olumsuz etkileyen herhangi bir sorun bulunmadığını bildirdi. Sistemdeki kamu hizmetleri güvenli ve kesintisiz şekilde sunulmaya devam ediyor.
69 milyondan fazla kullanıcıya hizmet veren e-Devlet Kapısı’nda kişisel verilerin korunması için çok katmanlı güvenlik önlemleri kullanılıyor. Vatandaşların bilgileri tek bir merkezde tutulmak yerine ilgili kamu kurumlarının sistemleriyle güvenli bağlantılar üzerinden işleniyor. Platformun altyapısı 7 gün 24 saat izlenirken düzenli güvenlik testleri ve kurumlar arası bağlantı kontrolleri gerçekleştiriliyor.
Siber Güvenlik Başkanlığı, PHP altyapısını kullanan kamu kurumları ve özel sektör kuruluşlarına güncel olmayan yazılım bileşenlerini belirlemeleri ve güvenlik güncellemelerini uygulamaları yönündeki çağrısını yineledi. Ulusal ölçekte yürütülen teknik takip ve güvenlik taramaları, ilgili kurumlar ve Siber Olaylara Müdahale Ekipleri arasındaki koordinasyonla devam ediyor.
