İnternetin altyapısını ilgilendiren kritik güvenlik açıkları, dünya genelinde alarm durumuna neden oldu. Milyonlarca internet sitesinin çalışmasını sağlayan PHP programlama dilinde tespit edilen iki ciddi zafiyet, saldırganların belirli koşullarda kullanıcı adı veya şifreye ihtiyaç duymadan savunmasız sunucularda uzaktan kod çalıştırmasına imkan tanıyabiliyor. Siber güvenlik çevrelerinde “PHP2Shell” olarak adlandırılan açıkların risk seviyesi, uluslararası CVSS ölçeğinde 10 üzerinden 9,2 olarak değerlendirildi. Açıkların ortaya çıkmasının ardından Avrupa'da bazı kamu kurumları, limanlar ve işletmeler, olası saldırılara karşı internet sitelerini geçici olarak erişime kapattı. ABD, Avrupa Birliği, İngiltere, Japonya ve Avustralya'daki siber güvenlik kurumları da PHP kullanan kuruluşlara acil güncelleme çağrısı yaptı. Türkiye'de ise Siber Güvenlik Başkanlığı, ulusal ölçekte güvenlik taramalarını devreye alarak ilgili kurum ve kuruluşları uyardı. Yaşanan gelişmeler, siber güvenlik tarihinde son derece kritik bir dönem olarak değerlendirildi. Bazı çevrelerde “İnternetin Kara Ekim'i” olarak adlandırılan süreçte, saldırı girişimlerinin hızla arttığı bildirildi. Ancak PHP kullanan bütün internet sitelerinin saldırıya uğradığı ya da aynı ölçüde savunmasız olduğu anlamına gelen bir durum söz konusu değil.
PHP NEDİR, NEDEN BU KADAR ÖNEMLİ?
PHP, 1990'lı yıllarda geliştirilmeye başlanan ve bugün internetin temel teknolojileri arasında yer alan açık kaynaklı bir programlama dili. İnternet sitelerinin arka planında çalışan bu yazılım; kullanıcı hesaplarının yönetilmesi, veritabanlarından bilgi alınması, içeriklerin yayımlanması ve çevrim içi alışveriş işlemleri gibi pek çok işlevde kullanılıyor. Dünya genelindeki internet sitelerinin yaklaşık yüzde 70'inin PHP altyapısından yararlandığı belirtiliyor. Bu yaygınlık, PHP'yi internet ekosisteminin kritik bileşenlerinden biri haline getiriyor. WordPress, Drupal, Joomla ve Magento gibi yaygın içerik yönetim sistemleri de PHP teknolojisinden yararlanıyor. Bir kullanıcının internet sitesinde hesabına giriş yapmasından bir haberin yayımlanmasına, ürün siparişinden veritabanındaki bilgilerin işlenmesine kadar birçok işlem, PHP kodları üzerinden yürütülebiliyor. Bu nedenle PHP'deki bir güvenlik açığı, yalnızca tek bir internet sitesini değil, bu teknolojiye dayanan farklı sistemleri de ilgilendirebiliyor. Ancak PHP'nin yaygın kullanılması, internet sitelerinin yüzde 70'inin doğrudan saldırıya uğradığı anlamına gelmiyor. Gerçek risk; kullanılan PHP sürümüne, sistemin yapılandırmasına, güvenlik güncellemelerinin uygulanıp uygulanmadığına ve açığın ilgili sistemde kullanılabilir olup olmadığına bağlı.
SALDIRGANLAR ŞİFREYE İHTİYAÇ DUYMADAN NE YAPABİLİR?
CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kaydedildiği belirtilen iki güvenlik açığı, savunmasız sistemlerde uzaktan kod çalıştırılması ve hassas bilgilere erişilmesi riskini gündeme getirdi. Açıkların belirli koşullarda kullanılabilmesi halinde saldırganlar, sisteme geçerli bir kullanıcı hesabıyla giriş yapmadan özel olarak hazırlanmış istekler üzerinden hedef sunucuda kod çalıştırabilir. Uzaktan kod çalıştırma, siber güvenlik alanındaki en ciddi risklerden biri olarak kabul ediliyor. Çünkü saldırganın sunucu üzerinde kod çalıştırabilmesi, sistemin yapısına ve elde ettiği erişim düzeyine bağlı olarak çok sayıda zararlı işlemin önünü açabiliyor. Bu kapsamda savunmasız sistemlerde şu riskler ortaya çıkabiliyor:
İnternet sitesindeki dosya ve veritabanlarının ele geçirilmesi.
Kullanıcıların kişisel bilgilerinin veya hesap verilerinin çalınması.
Sunucuya zararlı yazılım yüklenmesi.
İnternet sitesindeki içeriklerin izinsiz değiştirilmesi.
Kullanıcıların sahte giriş veya ödeme sayfalarına yönlendirilmesi.
Sunucunun spam göndermek ya da zararlı içerik dağıtmak amacıyla kullanılması.
Sistemin tamamen veya kısmen kontrol altına alınması.
Saldırganlar, ele geçirdikleri siteleri başka saldırılar için de kullanabilir. Örneğin, bir internet sitesine zararlı kod eklenmesi, siteyi ziyaret eden kullanıcıların risk altına girmesine neden olabilir. Kullanıcıların sahte sayfalara yönlendirilmesi halinde kişisel bilgiler ve hesap bilgileri de tehlikeye girebilir. Bununla birlikte, bu sonuçların her savunmasız sistemde mutlaka yaşanacağı söylenemez. Ortaya çıkabilecek zarar, açığın nasıl kullanıldığına ve hedef sistemin güvenlik koşullarına göre değişebilir.
MİLYONLARCA SALDIRI GİRİŞİMİ NASIL ORTAYA ÇIKTI?
Krizin boyutunu gösteren açıklamalardan biri, bulut hizmetleri ve internet güvenliği alanında faaliyet gösteren Cloudflare'den geldi. Şirket, güvenlik açığından yararlanmayı amaçlayan girişimlerin kısa sürede hızla arttığını bildirdi. Cloudflare Üst Yöneticisi Matthew Prince, X platformunda yaptığı açıklamada, kamuoyuna duyuru yapılmadan önce de saldırı girişimlerinin tespit edildiğini belirtti. Prince, sürecin hızını şu ifadelerle anlattı:
“Kamuoyuna duyurulmadan önceki 10 saat içinde, ağ genelinde bu durumdan yararlanmaya yönelik binlerce girişim gördük. Bu sayı, duyurudan sonraki 45 dakika içinde on binlere, 2 saat içinde yüz binlere ve şu anda ise milyonlara ulaştı.”
Açıklama, güvenlik açığının kamuoyuna duyurulmasının ardından saldırı girişimlerinin ne kadar hızlı artabildiğini ortaya koydu. Ancak bildirilen girişim sayısı, milyonlarca internet sitesinin başarıyla ele geçirildiğini göstermiyor. Saldırı girişimleri ile başarıya ulaşan saldırılar birbirinden farklı veriler.
AVRUPA'DA KAMU SİTELERİ NEDEN KAPATILDI?
Güvenlik açığının oluşturabileceği riskler nedeniyle Fransa, Hollanda, Almanya, Finlandiya ve Belçika'nın da aralarında bulunduğu bazı Avrupa ülkelerinde kamu kurumlarının internet siteleri önlem amacıyla geçici olarak erişime kapatıldı. Bazı işletmeler ve kritik hizmet sağlayıcıları da güvenlik tedbirlerini devreye aldı. ABD, Avrupa Birliği, İngiltere, Japonya ve Avustralya'daki siber güvenlik kurumları, PHP kullanan kuruluşlara sistemlerini kontrol etmeleri ve gerekli güncellemeleri vakit kaybetmeden uygulamaları çağrısında bulundu. ABD Ulusal Güvenlik Ajansı da güvenlik düzeltmelerini hemen uygulayamayan kuruluşlara, etkilenen sistemleri geçici olarak internetten ayırmaları yönünde tavsiyede bulundu. İngiltere Ulusal Siber Güvenlik Merkezi ise güncellemeleri uygulayamayan kuruluşların, gerekli güvenlik önlemleri tamamlanıncaya kadar etkilenen sistemlerini çevrim dışı bırakmasını önerdi. İnternet sitelerinin geçici olarak kapatılması, tek başına bu sitelerin saldırıya uğradığını kanıtlamıyor. Böyle bir karar, güvenlik güncellemeleri uygulanırken olası riskleri sınırlandırmak amacıyla da alınabiliyor.
TÜRKİYE'DE HANGİ ÖNLEMLER ALINDI?
PHP'deki kritik güvenlik açıkları Türkiye'de de ulusal ölçekte alarm verilmesine neden oldu. Siber Güvenlik Başkanlığı, dünya genelinde yaygın olarak kullanılan PHP altyapısındaki zafiyetlere ilişkin güvenlik taramalarını başlattı ve ilgili kurum ve kuruluşlara acil bildirimler gönderdi. Başkanlığın açıklamasında şu ifadeler yer aldı:
“Dünya genelinde yaygın olarak kullanılan PHP yazılım altyapısında kritik güvenlik açıkları tespit edilmiştir. Başkanlığımız, söz konusu zafiyetlerin oluşturabileceği risklerin erken tespiti ve olası etkilerinin sınırlandırılması amacıyla ulusal ölçekte güvenlik taramalarını başlatmış, ilgili kurum ve kuruluşlara acil güvenlik bildirimlerini iletmiştir.”
Açıklamada, kamu kurumları, kritik altyapı işletmecileri ve özel sektör kuruluşlarına da çağrı yapıldı:
“Kamu kurumlarımızın, kritik altyapı işletmecilerimizin ve özel sektör kuruluşlarımızın sistemlerini gözden geçirerek gerekli güvenlik güncellemelerini ivedilikle uygulamaları önem taşımaktadır. Dijital altyapılarımızın güvenliği ve kritik hizmetlerin sürekliliği için ulusal düzeyde koordinasyon ve önleyici güvenlik çalışmalarımız sürmektedir.”
Başkanlığın açıklaması, yalnızca kamu kurumlarının değil, PHP altyapısını kullanan özel sektör kuruluşlarının ve kritik hizmet sağlayıcılarının da sistemlerini kontrol etmesi gerektiğini ortaya koydu.
AÇIKLAR ÖNCEDEN Mİ BİLİNİYORDU?
Krizin dikkat çeken boyutlarından biri de güvenlik açıklarının geçmişine ilişkin açıklamalar oldu. PHP'nin geliştirilmesini destekleyen PHP Foundation, güvenlik açıklarından birine ilişkin ilk işaretlerin 2024 yılında fark edildiğini, ancak o dönemde somut bir saldırı yönteminin ortaya konulamadığını bildirdi. Kuruluş, sorunun giderilmesindeki gecikmenin karar alma süreçleri ve kaynak yetersizliğiyle bağlantılı yapısal bir başarısızlık olduğunu kabul etti. Güvenlik açıklarına ilişkin bazı bilgilerin 20 Ekim'de internete sızmasının ardından, başlangıçta 22 Ekim'de yayımlanması planlanan güncellemelerin tarihi 21 Ekim'e çekildi. Böylece PHP geliştiricileri, güvenlik düzeltmelerini planlanan tarihten önce yayımladı. Açıkların uzun süre fark edilmemiş olması ve bunların saldırı amacıyla kullanılabileceğinin ortaya çıkması, yazılım güvenliğinde kaynak kodunun düzenli olarak incelenmesinin önemini bir kez daha gündeme taşıdı.
PHP geliştiricileri, iki kritik açığı gidermek amacıyla 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerini yayımladı. PHP Foundation, yazılımı kullanan kuruluşlara güvenlik güncellemelerini gecikmeden yüklemeleri çağrısında bulundu. Siber güvenlik uzmanları, yalnızca internet sitesinin kullandığı içerik yönetim sistemini güncellemenin yeterli olmayabileceğine dikkat çekiyor. Çünkü açık, sunucudaki PHP sürümünü ilgilendiriyor. Bu nedenle WordPress veya başka bir uygulama güncel olsa bile sunucuda kullanılan PHP sürümü savunmasızsa risk devam edebilir. Uzmanların ve ilgili kurumların öne çıkardığı temel önlemler şöyle:
PHP kullanan sunucuların ve uygulamaların belirlenmesi.
Kullanılan PHP sürümünün kontrol edilmesi.
Uygun güvenlik güncellemelerinin yüklenmesi.
Güncellemelerin ardından ilgili servislerin yeniden başlatılması ve sistemlerin doğrulanması.
Gerekli düzeltmeler hemen uygulanamıyorsa etkilenen sistemlerin internet erişiminin geçici olarak sınırlandırılması.
Sistemlerin daha önce saldırıya maruz kalıp kalmadığının incelenmesi.
PHP sürümünü veya sunucu yapılandırmasını doğrudan yönetmeyen internet sitesi sahiplerinin, barındırma hizmeti sağlayıcılarıyla iletişime geçerek kullanılan sürümün güvenli olup olmadığını öğrenmesi gerekiyor.
MİLYONLARCA SUNUCU GÜNCELLEME BEKLİYOR
Siber güvenlik şirketi VulnCheck'in araştırmasına göre internete açık 2,6 milyondan fazla sunucuda PHP tespit edildi. Araştırmada, 700 binden fazla sunucunun PHP 3.x ile 7.3 arasındaki eski sürümleri kullandığı, yaklaşık 400 bin sunucunun ise 7.4, 8.0 veya 8.1 sürümlerinde çalıştığı belirtildi. Bu sürümlerin önemli bir bölümü resmi güvenlik desteği dışında bulunuyor. Güvenlik desteği sona eren yazılımlar, yeni keşfedilen açıklar için üretici tarafından düzenli olarak güncelleme almayabiliyor. Bu nedenle eski sürümlerin kullanılması, güvenlik risklerinin giderilmesini daha da zorlaştırabiliyor. PHP geliştiricileri, desteklenen 8.2, 8.3, 8.4 ve 8.5 sürümleri için düzeltmeler yayımladı. Daha eski sürümleri kullanan kuruluşların ise desteklenen sürümlere geçmesi veya kullandıkları yazılım dağıtımının sağladığı güvenlik düzeltmelerini uygulaması gerekiyor. Bununla birlikte, internete açık sunucu sayısı ile saldırıya açık sunucu sayısı aynı değil. Gerçek riskin belirlenmesi için sunucularda hangi sürümlerin çalıştığının, güncellemelerin uygulanıp uygulanmadığının ve sistemlerin nasıl yapılandırıldığının incelenmesi gerekiyor.
GÜVENLİK AÇIKLARINI YAPAY ZEKA MI BULDU?
Krizin öne çıkan başlıklarından biri de güvenlik açıklarının keşfinde yapay zeka modellerinin kullanılması oldu. Verilen bilgilere göre siber güvenlik şirketi Calif, açıkları 1 Ağustos'ta büyük dil modellerinden yararlanarak tespit ettiğini açıkladı. Google'ın sahibi olduğu Wiz de kendi otonom güvenlik araştırma aracı Wiz Atlas'ın yanı sıra Google'ın Gemini ve OpenAI'ın GPT-5.6 modellerinden yararlanarak PHP'nin kaynak kodunu incelediğini bildirdi. Araştırmacılar, geniş bir kod tabanındaki birbiriyle ilişkili yazılım hatalarını tespit etmeye ve bu hataların uzaktan saldırıya nasıl dönüştürülebileceğini anlamaya çalıştı. Wiz'e göre güvenlik açıkları PHP'nin kaynak kodunda 10 yılı aşkın süredir bulunuyordu. Hataların bir araya getirilerek kullanılabilir hale getirilmesi ise karmaşık bir araştırma süreci gerektiriyordu. OpenAI da araştırmacılardan oluşan bir koalisyonun keşif sürecine katıldığını ve gelişmiş yapay zeka modellerinin önemli katkı sağladığını duyurdu. PHP Foundation ise güvenlik araştırmalarında Anthropic'in gelişmiş modellerinden de yararlandığını açıkladı. Yapay zekanın güvenlik araştırmalarında kullanılması, yazılım kodlarının daha hızlı analiz edilmesini ve daha önce fark edilmemiş hataların tespit edilmesini sağlayabiliyor. Ancak aynı teknolojilerin kötü niyetli kişiler tarafından kullanılması da saldırı risklerini artırabilecek bir unsur olarak değerlendiriliyor.
SİTELER GERÇEKTEN SALDIRIYA UĞRADI MI?
Güvenlik açığının ortaya çıkması ve saldırı girişimlerinin bildirilmesi, tüm savunmasız internet sitelerinin ele geçirildiği anlamına gelmiyor. Avustralya'daki Swinburne Teknoloji Üniversitesi'nden Dimitrios Salampasis, internet sitelerinin erişime kapatılmasının doğrudan saldırıya uğradıklarını göstermediğini belirtti. Salampasis, “İnternet sitelerinin erişime kapatılması, siber saldırıya uğradıkları anlamına gelmez. Bu, güvenlik güncellemeleri devreye alınırken sistemleri korumak adına alınmış bir önlem olabilir” dedi. Singapore James Cook Üniversitesi Siber Güvenlik Öğretim Üyesi Steve Kerrison da mevcut bulgulara göre, bilinen teknikleri kullanarak aktif bir saldırı gerçekleştiren birinin tespit edilmediğini söyledi. Büyük kamu kurumlarının, haber kuruluşlarının ve teknoloji şirketlerinin güvenlik ekipleri aracılığıyla hızlı önlem alması beklenirken, daha küçük işletmelerin aynı hızla hareket edemeyebileceği belirtiliyor. Kerrison, bazı internet sitelerinin ve sistemlerin yöneticilerinin güvenlik açığından günler, haftalar, hatta aylar boyunca haberdar olmayabileceğine dikkat çekti. Bu nedenle uzmanların gündemindeki temel meselelerden biri, yalnızca güncellemelerin yayımlanması değil, bu güncellemelerin risk altındaki bütün sistemlere uygulanması ve olası ihlal belirtilerinin araştırılması.
JAPONYA BAŞBAKANI DA UYARDI
Güvenlik açığına ilişkin uluslararası uyarılar arasında Japonya Başbakanı Takaichi Sanae'nin açıklaması da yer aldı. Başbakan, çarşamba günü yaptığı açıklamada internet sitesi yöneticilerine PHP kullanıp kullanmadıklarını kontrol etmeleri ve güvenlik düzeltmelerine hazırlıklı olmaları çağrısında bulundu. Takaichi'nin açıklamasında şu ifadeler yer aldı:
“Herkese, bu gece için acilen uyulmasını rica ettiğimiz önemli bir taleptir. Birçok web sitesinde kullanılan PHP ile ilgili olarak, PHP güvenlik ekibi, iki kritik güvenlik açığına dair uyarı duyurusu yaptı. Web sitenizde PHP kullanıp kullanmadığınızı kontrol edin ve bu gece yayınlanacak düzeltme yaması için, mümkün olan en kısa sürede uygulayabilmeniz adına hazırlık yapmanızı rica ederiz.”
Uluslararası kurumların art arda yaptığı uyarılar, PHP kullanan kuruluşların sistemlerini gecikmeden kontrol etmesi gerektiğini ortaya koydu.
KULLANICILAR NE YAPMALI?
Güvenlik açığının doğrudan hedefinde öncelikle internet sitesi sahipleri, sunucu yöneticileri ve PHP altyapısını yöneten kuruluşlar bulunuyor. Bireysel kullanıcıların kendi cihazlarına PHP güncellemesi yüklemesi gerekmiyor. Ancak savunmasız bir internet sitesinin ele geçirilmesi, o site üzerinden hizmet alan kullanıcıların bilgilerini de risk altına sokabilir. Kullanıcıların güvenilirliğinden emin olmadıkları sitelere parola, ödeme bilgisi veya başka hassas veriler girmemesi; şüpheli bağlantılara karşı dikkatli olması önem taşıyor. Bir internet sitesinin güvenli görünmesi, arka plandaki sunucusunun mutlaka güncel olduğu anlamına gelmiyor. İnternetin temel altyapısını ilgilendiren PHP krizi, yazılım güvenliğinin yalnızca büyük teknoloji şirketlerinin değil, kamu kurumlarından küçük işletmelere kadar geniş bir kesimin sorumluluğunda olduğunu gösteren kritik bir gelişme olarak gündemdeki yerini koruyor. Güvenlik güncellemelerinin uygulanması ve sistemlerin olası saldırılara karşı incelenmesi, riskin sınırlandırılmasında belirleyici olacak.
Kaynak: HABER MERKEZİ
Yorumlar (0)