Dünya genelinde milyonlarca internet sitesi ve kurumsal uygulamanın kullandığı PHP yazılımında, saldırganların belirli koşullarda şifreye ihtiyaç duymadan sunucularda zararlı kod çalıştırmasına imkân tanıyabilen iki kritik güvenlik açığı ortaya çıktı. "PHP2Shell" adıyla gündeme gelen açıkların ardından Türkiye'de de güvenlik kontrolleri hızlandırıldı. Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, 69 milyonu aşkın kullanıcısı bulunan e-Devlet Kapısı'nda hizmetleri olumsuz etkileyecek herhangi bir soruna rastlanmadığını bildirdi.
Siber Güvenlik Başkanlığı koordinasyonunda yürütülen çalışmalarda kamu kurumlarının sistemleri incelenirken özel sektöre de yazılım güncellemelerini geciktirmeme çağrısı yapıldı.
e-Devlet Kapısı'nda güvenlik kontrolleri tamamlandı
Türkiye'de milyonlarca vatandaşın kamu hizmetlerine ulaşmak için kullandığı e-Devlet Kapısı, güvenlik incelemelerinin öncelikli başlıklarından biri oldu. Başkanlığın açıklamasına göre platformda gerçekleştirilen teknik kontrollerde hizmetlerin güvenliğini ve kesintisiz çalışmasını olumsuz etkileyecek bir bulguya ulaşılmadı.
e-Devlet Kapısı, kamu kurumlarına ait bütün verileri tek bir merkezde toplamak yerine ilgili kurumlarla güvenli bağlantılar üzerinden iletişim kuruyor. Platformun çok katmanlı güvenlik mimarisi ve sürekli izleme sistemleriyle korunduğu belirtildi.
Vatandaşlar e-Devlet hizmetlerinden olağan şekilde yararlanmaya devam ediyor.
Başkanlık, olası tehditlerin erken tespit edilmesi amacıyla Siber Olaylara Müdahale Ekipleri (SOME) ile koordineli çalışıldığını, ulusal ağ taramaları ve teknik izleme faaliyetlerinin sürdüğünü açıkladı.
PHP2Shell nedir, güvenlik açıkları nasıl çalışıyor?
PHP, internet sitelerinin ve çevrim içi uygulamaların geliştirilmesinde kullanılan yaygın bir programlama dili. İçerik yönetim sistemlerinden kurumsal uygulamalara kadar geniş bir alanda tercih ediliyor.
PHP2Shell adıyla anılan CVE-2026-109618 ve CVE-2026-109619 kodlu güvenlik açıklarının her biri, uluslararası güvenlik derecelendirme sistemi CVSS'de 10 üzerinden 9,2 puan aldı.
Söz konusu açıklar, savunmasız yapılandırmalarda saldırganların kullanıcı adı veya şifre girmeden sunucu üzerinde kod çalıştırmasına imkân verebiliyor.
Saldırganların özel hazırlanmış internet istekleri aracılığıyla yararlanabildiği bu zafiyetler, başarılı bir saldırı durumunda hassas bilgilerin açığa çıkmasına, yetkisiz işlemlere veya hizmet kesintilerine neden olabilir.
Riskin boyutu, sistemin kullandığı PHP sürümüne ve sunucu yapılandırmasına göre değişiyor. Bu nedenle PHP kullanan her internet sitesinin aynı ölçüde savunmasız olduğu söylenemiyor.
WordPress ve diğer içerik yönetim sistemleri etkilenebilir
PHP tabanlı WordPress, Drupal ve Joomla gibi içerik yönetim sistemlerini kullanan internet siteleri de güvenlik uyarılarının kapsamına giriyor.
Buradaki temel sorun, içerik yönetim sisteminin kendisinden ziyade sunucuda çalışan PHP yazılımının güvenlik açığı barındıran sürümleriyle ilgili.
Bu nedenle yalnızca WordPress eklentilerini veya site temasını güncellemek yeterli olmayabilir. Sunucu yöneticilerinin PHP sürümünü kontrol etmesi, gerekli güvenlik yamalarını uygulaması ve desteklenen sürümlere geçmesi gerekiyor.
Güvenlik açıklarının duyurulmasının ardından Amazon'un 17 Ekim'de saldırı girişimleri kaydettiği, Cloudflare'ın da PHP açıklarıyla bağlantılı saldırı trafiği tespit ettiği aktarıldı.
Bu girişimlerin tespit edilmesi, söz konusu şirketlerin sistemlerine başarıyla sızıldığı anlamına gelmiyor. Başarılı bir saldırıya ilişkin doğrulanmış bilgi paylaşılmadı.
Kritik açıklar için dört yeni PHP sürümü yayımlandı
PHP geliştiricileri, 21 Ekim 2026'da iki kritik güvenlik açığını gideren güncellemeleri yayımladı. PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 ve PHP 8.5.12 sürümleri kullanıma sunuldu.
PHP'nin resmî güvenlik duyurusunda, internete açık PHP sistemlerinin gecikmeden güncellenmesi istendi. Geliştiriciler, mevcut güvenlik açıklarına karşı güncellemenin yerini alabilecek eksiksiz bir koruma yöntemi bulunmadığını bildirdi.
Özellikle Apache mod_php yapılandırmasının daha yüksek risk taşıdığına işaret edildi. PHP-FPM, php-cgi, FrankenPHP ve LiteSpeed üzerinden çalışan sistemlerin de söz konusu güvenlik açıklarından etkilenebileceği açıklandı.
PHP 8.2 sürümünün güvenlik desteği 31 Aralık 2026'da sona erecek. Bu sürümü kullanan sistem yöneticilerinin daha güncel sürümlere geçiş planlarını hazırlaması gerekiyor.
Siber Güvenlik Başkanlığından kurumlara uyarı
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, 21 Ekim tarihli TR-26-1372 kodlu güvenlik bildiriminde kurum ve kuruluşların PHP tabanlı uygulamalarını incelemesi
