Dünya Genelindeki Siber Güvenlik Açığı İçin Kritik Uyarı: Siber Güvenlik Başkanlığı’ndan Açıklama

İnternet siteleri ve kurumsal uygulamalarda kullanılan PHP altyapısını ilgilendiren güvenlik açıkları, siber saldırganların bazı koşullarda kimlik doğrulaması olmadan sunucularda zararlı kod çalıştırabilmesine imkân tanıyabiliyor. Gelişme üzerine kamu kurumları ve özel sektördeki sistemlerin güvenlik durumlarının incelenmesi için çalışmalar hızlandırıldı.

e-Devlet Kapısı İçin Güvenlik Kontrolleri Tamamlandı

Siber Güvenlik Başkanlığı, vatandaşların en çok kullandığı dijital hizmetlerden biri olan e-Devlet Kapısı’na ilişkin incelemelerin tamamlandığını bildirdi.

Açıklamada, 69 milyonu aşkın kullanıcısı bulunan platformda gerçekleştirilen teknik kontrollerde kamu hizmetlerinin güvenliğini ve kesintisiz işleyişini olumsuz etkileyecek herhangi bir soruna rastlanmadığı belirtildi.

e-Devlet Kapısı’nın çalışma mimarisinde veriler tek bir merkezde toplanmak yerine ilgili kamu kurumlarıyla güvenli bağlantılar üzerinden iletişim kuruluyor. Çok katmanlı güvenlik önlemleri ve kesintisiz izleme mekanizmalarıyla olası risklerin tespit edilmesi ve önlenmesi hedefleniyor.

Kurumlara Sistemlerini Güncelleme Çağrısı

Siber Güvenlik Başkanlığı, güvenlik açıklarına karşı kamu kurumlarının yanı sıra özel sektördeki kuruluşlara da uyarıda bulundu.

Kurum ve kuruluşlardan PHP altyapılarını gecikmeden gözden geçirmeleri, yazılım üreticilerinin yayımladığı güvenlik yamalarını uygulamaları ve desteklenen güvenli sürümlere geçmeleri istendi.

Özellikle güncelliğini yitirmiş yazılım bileşenlerinin saldırganlar açısından risk oluşturduğuna dikkat çekildi. Sunucu altyapılarının ve kullanılan yazılım sürümlerinin kontrol edilmesi gerektiği vurgulandı.

PHP Yazılımında İki Kritik Güvenlik Açığı Tespit Edildi

İnternet siteleri ve kurumsal uygulamalarda yaygın biçimde kullanılan PHP yazılımında, “PHP2Shell” adıyla anılan iki kritik güvenlik açığı tespit edildi.

CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen açıkların, uluslararası CVSS güvenlik derecelendirme sisteminde 10 üzerinden 9,2 puan aldığı bildirildi.

Söz konusu açıklar, belirli koşullarda saldırganların kullanıcı adı veya şifreye ihtiyaç duymadan uzaktan kod çalıştırabilmesine olanak tanıyabiliyor. Başarılı bir saldırı durumunda sunuculardaki hassas bilgilerin açığa çıkması, yetkisiz işlemler yapılması veya hizmetlerin aksaması gibi sonuçlar ortaya çıkabiliyor.

WordPress, Drupal ve Joomla Kullanan Siteler de Etkilenebilir

PHP altyapısıyla çalışan WordPress, Drupal ve Joomla gibi içerik yönetim sistemleri de güvenlik uyarılarında öne çıkıyor.

Ancak bu platformlardan birini kullanan bütün internet sitelerinin tehlikeye girdiği anlamına gelmiyor. Risk; sunucuda kullanılan PHP sürümüne, yapılandırmaya ve güvenlik güncellemelerinin uygulanıp uygulanmadığına göre değişiyor.

Bu nedenle yalnızca içerik yönetim sistemini veya eklentileri güncellemek yeterli olmayabilir. Sunucudaki PHP sürümünün de kontrol edilmesi ve gerekiyorsa güncellenmesi gerekiyor.

PHP İçin Güvenlik Güncellemeleri Yayımlandı

Haberde aktarılan bilgilere göre PHP geliştiricileri, 21 Ekim'de iki güvenlik açığını gidermeye yönelik yeni sürümleri yayımladı.

Güvenlik açıklarının giderildiği belirtilen sürümler şunlar:

PHP 8.2.35
PHP 8.3.36
PHP 8.4.27
PHP 8.5.12

İnternet üzerinden erişilebilen PHP sistemlerinin güvenli sürümlere yükseltilmesi önem taşıyor. Resmî destek süresi sona eren PHP 8.1 ve daha eski sürümleri kullanan sistemlerin de desteklenen sürümlere geçirilmesi gerekiyor.

Siber Güvenlik Ekiplerinin Çalışmaları Sürüyor

Siber Güvenlik Başkanlığı, olası risklerin erken tespit edilmesi amacıyla Siber Olaylara Müdahale Ekipleri (SOME) ile koordineli çalışmaların devam ettiğini bildirdi.

Ulusal ölçekte ağ taramaları ve teknik izleme süreçleri sürdürülürken, kurumların alması gereken önlemlere ilişkin teknik bilgilendirmelerin de Başkanlığın resmî internet sitesindeki güvenlik duyurularından takip edilebileceği belirtildi.

Vatandaşların Kişisel Verileri Çalındı mı?

PHP yazılımında güvenlik açığı tespit edilmesi, vatandaşların kişisel bilgilerinin çalındığı veya Türkiye'deki kamu sistemlerine sızıldığı anlamına gelmiyor.

Siber Güvenlik Başkanlığının e-Devlet'e ilişkin açıklamasında, yapılan kontrollerde kamu hizmetlerinin güvenliğini ve sürekliliğini olumsuz etkileyecek bir soruna rastlanmadığı bildirildi. Açıklamada, Türkiye genelinde bir veri sızıntısı yaşandığına ilişkin bir bilgi de paylaşılmadı.

Güvenlik açığının öncelikli muhatapları, PHP kullanan sistemleri işleten kurumlar, şirketler ve internet sitesi yöneticileri. Bu kuruluşların güncellemeleri uygulaması ve sistemlerini düzenli olarak kontrol etmesi, olası saldırı risklerini azaltmak açısından önem taşıyor.