Siber Güvenlik Başkanlığı'ndan PHP açıklaması: 'E-Devlet'te sorun tespit edilmedi'

Siber Güvenlik Başkanlığı, dünya genelinde yaygın olarak kullanılan PHP yazılım altyapısındaki kritik güvenlik açıkları nedeniyle Türkiye genelinde yürütülen tarama ve güvenlik önlemi çalışmalarının tamamlandığını açıkladı.

Bilgi Teknolojileri ve İletişim Kurumu (BTK) bünyesindeki USOM ekiplerinin koordinesinde kamu ve özel sektör sistemleri taranırken, kurum ve kuruluşlara acil güncelleme ve dış erişim kısıtlaması çağrısı yapıldı. Siber Güvenlik Başkanlığı, dünya genelinde yaygın olarak kullanılan PHP yazılım altyapısına ilişkin "Kritik Siber Güvenlik Uyarısı" yayımladı. Açıklamada, ilgili kurum ve kuruluşlara acil güvenlik bildirimlerinin iletildiği belirtildi. Başkanlığın açıklamasında şu ifadelere yer verildi: "Dünya genelinde yaygın olarak kullanılan PHP yazılım altyapısında kritik güvenlik açıkları tespit edilmiştir. Başkanlığımız, söz konusu zafiyetlerin oluşturabileceği risklerin erken tespiti ve olası etkilerinin sınırlandırılması amacıyla ulusal ölçekte güvenlik taramalarını başlatmış, ilgili kurum ve kuruluşlara acil güvenlik bildirimlerini iletmiştir. Kamu kurumlarımızın, kritik altyapı işletmecilerimizin ve özel sektör kuruluşlarımızın sistemlerini gözden geçirerek gerekli güvenlik güncellemelerini ivedilikle uygulamaları önem taşımaktadır. Dijital altyapılarımızın güvenliği ve kritik hizmetlerin sürekliliği için ulusal düzeyde koordinasyon ve önleyici güvenlik çalışmalarımız sürmektedir." 21 Ekim 2026 tarihli "TR-26-1372 - PHP Programlama Dili Güvenlik Bildirimi"nde, iki kritik zafiyetin uzaktan kod çalıştırılmasına olanak tanıyabileceğine ilişkin şu bilgiler paylaşıldı: "Açık kaynaklarda yer alan bilgilere göre, PHP programlama dilini etkileyen iki kritik güvenlik zafiyetinin bulunduğu ve söz konusu zafiyetlerin uzaktan kod çalıştırılmasına (RCE) olanak tanıyabileceği bildirilmektedir. Güvenlik araştırmacıları tarafından 'php2shell' olarak adlandırılan zafiyetlere ilişkin ayrıntıların, PHP güvenlik ekibinin yayımlayacağı resmi güvenlik duyurusuyla açıklanması beklenmektedir." Bildirimde zafiyetlerin CVE kodları, "CVE-2026-109618" ve "CVE-2026-109619" olarak sıralandı. Zafiyetlerin olası etkilerine ilişkin bildirimde şu değerlendirmeye yer verildi: "Zafiyetlerin başarılı şekilde istismar edilmesi durumunda, etkilenen PHP tabanlı uygulamaların çalıştığı sistemlerde yetkisiz kod çalıştırılması ve uygulamanın sahip olduğu yetkiler ölçüsünde sistem kaynaklarına erişim sağlanması riski bulunmaktadır. Bu durumun, uygulama verilerinin gizliliği ve bütünlüğü ile hizmetlerin sürekliliği üzerinde olumsuz etkiler oluşturabileceği değerlendirilmektedir." Kurum ve kuruluşların alması gereken önlemler, bildirimde şöyle sıralandı: "Üreticinin resmi güvenlik güncellemesinin yayımlanmasını takiben etkilenen sistemlerin belirlenmesi ve ilgili sistemlerin üretici tarafından sağlanan güvenli sürümlere gecikmeksizin yükseltilmesi, Yönetim arayüzlerine ve kritik PHP servislerine yönelik dış erişimlerin güvenlik duvarı (Firewall/ACL) kuralları ile yalnızca güvenilir/yetkili IP adresleriyle sınırlandırılması, Yurt dışı erişim ihtiyacı bulunmayan sistemlerin ivedilikle uluslararası trafiğe kapatılması gerekmektedir."