Siber Güvenlik Başkanlığı, PHP programlama dilindeki güvenlik zafiyetlerine ilişkin 21 Ekim 2026 tarihli ve TR-26-1372 numaralı güvenlik bildirimini yayımladı. Başkanlık, olası riskleri erkenden belirlemek ve etkilerini sınırlandırmak amacıyla Türkiye genelinde güvenlik taramaları başlattığını ve ilgili kuruluşlara acil durum bildirimleri ilettiğini duyurdu.

Php

Yapılan açıklamada; kamu kurumları, kritik altyapı işletmecileri ve özel sektör kuruluşlarının sistemlerini gözden geçirmeleri ve güvenlik güncellemelerini geciktirmeden uygulamaları istendi.

PHP2SHELL GÜVENLİK AÇIĞI NEDİR?

Güvenlik bildiriminde yer alan bilgilere göre, araştırmacılar tarafından "php2shell" olarak adlandırılan iki zafiyet, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlandı.

Söz konusu açıkların PHP tabanlı uygulamaların çalıştığı sistemlerde yetkisiz kişilerin uzaktan kod çalıştırmasına imkan tanıyabileceği aktarıldı. Bu durumun, yetkisiz kişilerin uygulama yetkileri dahilinde sistem kaynaklarına erişmesine; dolayısıyla veri gizliliği, bütünlüğü ve hizmet sürekliliğinin olumsuz etkilenmesine yol açabileceği değerlendirildi.

PHP NEDİR VE NERELERDE KULLANILIR?

Web uygulamalarının sunucu tarafında çalışmasını sağlayan açık kaynaklı bir programlama dili olan PHP; e-ticaret platformlarından müşteri ilişkileri yönetim sistemlerine, form verilerinin işlenmesinden veri tabanı iletişimine kadar geniş bir alanda kullanılıyor. Bu işlemler, web sitelerinin kullanıcıya görünmeyen arka planında yürütülüyor.

İNTERNET KESİNTİSİ VE BANKACILIK SEKTÖRÜ AÇIKLAMASI

Siber Güvenlik Başkanlığı’nın bildiriminde, söz konusu zafiyetler sebebiyle yaşanmış genel bir internet kesintisi veya bankacılık hizmetlerinde doğrulanmış bir aksama bilgisi yer almadı. Herhangi bir bankanın etkilediğine dair doğrulanmış bir verinin bulunmadığı aktarılırken, riskin doğrudan etkilenen PHP tabanlı uygulamaların çalıştığı sistemlerle sınırlı olduğu ifade edildi.

KURUM VE KURULUŞLARDAN İSTENEN ÖNLEMLER

Başkanlık tarafından PHP tabanlı uygulama kullanan kuruluşlara şu tedbirlerin uygulanması tavsiye edildi:

Güvenli Sürümlere Geçiş: Üreticinin resmi güvenlik güncellemesi yayımlandığında etkilenen sistemlerin tespit edilerek güvenli sürümlere yükseltilmesi.

Dış Erişimlerin Sınırlandırılması: Yönetim panellerine ve kritik PHP servislerine erişimin güvenlik duvarları aracılığıyla yalnızca güvenilir veya yetkili IP adreslerine tanımlanması.

Uluslararası Trafiğin Kısıtlanması: Yurt dışından erişim gereksinimi duymayan sistemlerin uluslararası trafiğe kapatılması.

Açıklamada, dijital altyapıların korunması ve hizmetlerin sürdürülebilirliği için ulusal seviyedeki koordinasyon ve önleyici güvenlik faaliyetlerinin devam ettiği kaydedildi.