PHP2Shell alarmı: Kritik açıklar nedeniyle kamu siteleri geçici olarak kapatıldı

Dünya genelinde internet siteleri ve kurumsal uygulamalarda yaygın biçimde kullanılan PHP programlama dilinde tespit edilen iki kritik güvenlik açığı, 21 Ekim 2026’da küresel ölçekte siber güvenlik alarmına yol açtı. “PHP2Shell” adıyla anılan ve CVE-2026-109618 ile CVE-2026-109619 kodları verilen açıkların, belirli koşullarda kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya izin verebildiği bildirildi.

Açıkların duyurulmasının ardından Almanya, Hollanda, Finlandiya, Fransa, Danimarka, Çekya ve diğer bazı ülkelerde kamu kurumları ile farklı kuruluşlar, güvenlik güncellemeleri uygulanana kadar bazı internet sitelerini önlem amacıyla geçici olarak erişime kapattı. Türkiye’de ise Siber Güvenlik Başkanlığı ulusal ölçekte güvenlik taramaları başlattı ve kamu kurumlarıyla kritik altyapı işletmecilerine acil önlem çağrısı yaptı.

PHP2SHELL AÇIKLARI HANGİ RİSKLERİ TAŞIYOR?

PHP’nin resmî güvenlik duyurusuna göre iki açık, web isteklerini işleyen PHP kurulumlarını etkileyebiliyor. CVE-2026-109618, bellek yetersizliği sırasında oluşan hatalı durumun istek verilerinin temizlenmesi aşamasında kötüye kullanılabilmesiyle ilişkilendiriliyor. CVE-2026-109619 ise bir isteğe ait bazı dahili durum bilgilerinin bellek serbest bırakıldıktan sonra sonraki isteklerde kullanılabilmesi riskini içeriyor.

Başarılı bir istismar senaryosunda saldırgan, uygulamanın sahip olduğu yetkiler çerçevesinde sunucuda yetkisiz kod çalıştırabilir. Bu durum; uygulama verilerinin gizliliği ve bütünlüğünün zarar görmesi, internet hizmetlerinin kesintiye uğraması veya etkilenen sunucuda başka işlemler gerçekleştirilmesi riskini doğurabilir. Ancak herhangi bir kurumun sisteminin kesin olarak ele geçirildiği anlamına gelmesi için ayrıca doğrulanmış olay bilgisi gerekir.

PHP GÜVENLİK GÜNCELLEMELERİ YAYIMLANDI

PHP geliştiricileri, 21 Ekim 2026’da iki kritik açığı gidermek amacıyla yeni sürümler yayımladı. Güvenlik düzeltmeleri PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 ve PHP 8.5.12 sürümlerinde yer alıyor. PHP ekibi, web isteklerine açık tüm PHP kurulumlarının mümkün olan en kısa sürede güncellenmesini istedi.

PHP ekibinin değerlendirmesine göre risk özellikle Apache üzerinde mod_php kullanılan yapılarda yüksek. Bunun nedeni, saldırganın bazı koşullarda uygulama kodu çalışmaya başlamadan önce isteği kullanarak saldırı gerçekleştirebilmesi. PHP-FPM, php-cgi, FrankenPHP ve LiteSpeed gibi web isteklerini işleyen diğer kurulumların da kontrol edilmesi gerekiyor.

Güncelleme yapılamayan sistemler için bazı geçici azaltma yöntemleri açıklansa da bunların tam çözüm olmadığı vurgulandı. Bu nedenle güvenlik güncellemesi uygulanamayan internete açık servislerin erişiminin sınırlandırılması veya geçici olarak devre dışı bırakılması tavsiye edildi.

AVRUPA’DA KAMU VE KURUM SİTELERİ ÇEVRİMDIŞI BIRAKILDI

Avrupa Birliği’nin siber güvenlik ekipleri, güvenlik güncellemesini zamanında uygulayamayan kurumlara etkilenen internet sitelerini geçici olarak çevrimdışı bırakma seçeneğini değerlendirme çağrısı yaptı. Bunun üzerine bazı hükümet, okul, hastane ve kurumsal internet hizmetlerinde geçici kesintiler yaşandı.

Almanya’da federal bilişim hizmet sağlayıcısı ITZBund’un bazı internet sitelerini önleyici amaçla geçici olarak kapattığı açıklandı. Alman makamları, uygulamanın bilinen bir veri ihlalinden kaynaklanmadığını ve güvenlik güncellemeleri yapılırken tedbir amacı taşıdığını bildirdi.

Hollanda’da ulusal siber güvenlik uyarılarının ardından Rotterdam Limanı, kamu hizmetleriyle ilişkili bazı siteler, siyasi parti internet sayfaları ve çok sayıda sağlık kuruluşunun web hizmetleri geçici olarak erişime kapatıldı. Finlandiya’da da devletin halka açık bazı internet hizmetlerine yönelik erişim, sistemlerin güncellenebilmesi için sınırlandırıldı.

Wikimedia Vakfı da PHP kullanan Wikimedia Cloud Services, Toolforge ve bazı topluluk hizmetlerini önlem amacıyla devre dışı bıraktı. Vakıf, MediaWiki veya başka PHP tabanlı sistemleri çalıştıran yöneticilere güncellemeleri gecikmeden uygulama çağrısı yaptı. Vakıf tarafından işletilen bazı hizmetler ise güvenlik çalışmaları tamamlandıkça yeniden kullanıma açıldı.

TÜRKİYE’DE ULUSAL GÜVENLİK TARAMASI BAŞLATILDI

Siber Güvenlik Başkanlığı, 21 Ekim 2026 tarihli duyurusunda PHP altyapısında iki kritik güvenlik açığı tespit edildiğini açıkladı. Başkanlık, olası etkilerin erken belirlenmesi ve sınırlandırılması amacıyla ulusal ölçekte güvenlik taramalarını başlattığını, ilgili kurum ve kuruluşlara acil güvenlik bildirimleri gönderildiğini bildirdi.

Kamu kurumları, kritik altyapı işletmecileri ve özel sektör kuruluşlarından PHP tabanlı uygulamalarını gözden geçirmeleri ve üretici tarafından yayımlanan güvenlik güncellemelerini uygulamaları istendi. Yönetim arayüzleri ile kritik PHP servislerine dış erişimin güvenlik duvarı kurallarıyla yalnızca yetkili adreslerle sınırlandırılması, yurt dışı erişim gerektirmeyen sistemlerin ise uluslararası trafiğe kapatılması önerildi.

Başkanlığın teknik bildiriminde ayrıca açığın başarılı biçimde istismar edilmesi halinde uygulamanın çalıştığı sistemde yetkisiz kod çalıştırılabileceği ve uygulamanın sahip olduğu yetkiler ölçüsünde sistem kaynaklarına erişim sağlanabileceği belirtildi. Bu nedenle kuruluşlara, yalnızca web uygulamasını değil sunucu, işletim sistemi, güvenlik duvarı ve erişim kayıtlarını da birlikte kontrol etmeleri çağrısı yapıldı.

JAPONYA VE DİĞER ÜLKELERDE DE ÖNLEM ALINDI

Japonya hükümeti, PHP kullanan internet sitesi yöneticilerine güvenlik güncellemelerini uygulama uyarısında bulundu. Hükümetin resmî internet sitesi de güvenlik güncellemelerinin uygulanabilmesi için geçici olarak erişime kapatıldı; hizmetlerin çalışmaların tamamlanmasının ardından yeniden başlatılacağı belirtildi.

Belçika’da Dışişleri Bakanlığı, PHP açıklarından yararlanıldığına ilişkin haberlerin ardından bazı internet sitelerini geçici olarak çevrimdışı bıraktı. Bakanlık, internet sitelerine yönelik bir saldırı tespit edilmediğini açıkladı. Norveç’te ise devlet kurumları ve dijital hizmet sağlayıcıları, güvenlik açığına karşı yapılan uyarıların ardından bazı sitelerini geçici olarak devre dışı bıraktı.

AÇIKLARIN ORTAYA ÇIKARILMASINDA YAPAY ZEKA ÇALIŞMALARI

OpenAI, 21 Ekim 2026’da yayımladığı açıklamada, son iki ay boyunca PHP’deki güvenlik açıklarının araştırılması ve giderilmesi için PHP geliştiricileri, güvenlik araştırmacıları ve çeşitli teknoloji şirketlerinden oluşan bir grupla koordinasyon yürüttüğünü bildirdi. Açıklamaya göre Calif, OpenAI’nin Patch the Planet girişimi kapsamında GPT-5.6 Sol kullanarak kritik bir kusur belirledi; Wiz ise iki açığı bağımsız olarak araştırıp bildirdi.

OpenAI, PHP geliştiricilerinin düzeltmeleri yayımlamasının ardından kuruluşların önceliğinin etkilenen sistemleri belirlemek ve uygun güvenlik güncellemesini uygulamak olduğunu belirtti. Bununla birlikte, güvenlik açığının kullanıldığı doğrulanmış her olayın otomatik olarak bir veri ihlali anlamına gelmediği; sistem yöneticilerinin güncelleme, erişim ve olay kayıtlarını ayrıca incelemesi gerektiği değerlendiriliyor.

GÜNCEL DURUM

PHP2Shell olarak anılan iki kritik açık için üretici düzeltmeleri yayımlanmış durumda. Güvenlik güncellemesi yapılmayan ve internete açık PHP sistemleri risk taşımaya devam ederken, güncelleme sürecinde bazı sitelerin geçici olarak kapatılması önleyici bir siber güvenlik uygulaması olarak öne çıktı. Türkiye’deki ulusal tarama ve kurumlara yönelik güvenlik bildirimleri de sürüyor.