HABER MERKEZİ – Birçok internet sitesinin altyapısında kullanılan PHP’de tespit edilen iki kritik güvenlik açığı, dünya genelinde büyük bir krizin ortaya çıkmasına sebep oldu. Saldırganların sunucular üzerinde uzaktan kod çalıştırmasına imkan tanıyabilen PHP2Shell açıkları için güvenlik güncellemeleri yayınlansa da sorunlar hala devam ediyor. Birçok ülke güvenlik amacıyla resmi kurumlara ait internet sitelerini kapattı. Peki PHP krizindeki son durum ne? İşte tüm detaylar;
Öncelikle PHP ekibi, güncelleme dışında tam koruma sağlayan bir geçici çözüm bulunmadığını açıkladı. Bunun üzerine ülkemizin de aralarında bulunduğu birçok ülke, ulusal çapta güvenlik taramaları başlatmış durumda. Bazı Avrupa ülkelerinde ise kamuya açık internet siteleri önlem amacıyla kapatıldı.
PHP NEDİR?
Öncelikle yaşanan sorun ve açıklamalara geçmeden önce PHP’nin ne olduğunu anlamamız gerekiyor. Çok kısa açıklamak gerekirse dünya çapınca birçok sitenin altyapısında kullanılan PHP, internet sitelerinin dinamik ve etkileşimli çalışmasını sağlayan bir programlama dili.
Özellikle WordPress çok yaygın olan altyapılarda, içerik yönetim sistemlerinde, çevrim içi mağazalarda ve kullanıcı bilgilerinin işlendiği web uygulamalarında yaygın olarak kullanılıyor. Sunucu tarafında çalışan PHP, internet sitelerinin veritabanlarıyla iletişim kurmasına ve kullanıcılara dinamik içerikler sunmasına yardımcı oluyor.
PHP’DEKİ GÜVENLİK AÇIĞI NE DURUMDA?
Tüm bu alarm durumuna geçilmesinin nedeni internet sitelerinin önemli bir bölümünde kullanılan PHP’de iki kritik güvenlik açığından kaynaklanıyor. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen bu açıklar, belirli koşullarda saldırganların kullanıcı adı ve şifreye ihtiyaç duymadan sunucularda kod çalıştırmasına imkan tanıyabiliyor.
PHP2Shell adı verilen açıklar, CVSS v4.0 değerlendirmesinde 10 üzerinden 9.2 puan aldı. Sorunun doğrudan PHP’nin çalışma ortamıyla ilgili olması, yalnızca belirli bir internet sitesini değil, etkilenen PHP sürümlerini kullanan tüm internet sitelerini ve uygulamaları risk altına sokuyor. Zaten olayın uluslararası düzeyde bir siber krize dönmesinin nedeni de bu.
Bu nedenle WordPress, Drupal ve Joomla gibi içerik yönetim sistemlerinin yanı sıra PHP tabanlı özel yazılımlar, çevrim içi mağazalar ve kurumsal uygulamalar da kontrol edilmesi gereken sistemler arasında yer alıyor.
Güvenlik açığının istismar edilmesi durumunda sunucudaki dosyalar değiştirilebilir, uygulama verileri tehlikeye girebiliyor ve saldırganlar sistem üzerinde yetkisiz işlemler gerçekleştirebiliyor. Resmi kurumların birçoğu bu altyapıyı kullandığı için doğal olarak kullanıcı verileri risk altında.
HANGİ PHP SÜRÜMLERİ GÜNCELLENMELİ
PHP geliştirme ekibi, 21 Ekim’de iki güvenlik açığını gidermek için yeni sürümleri yayınladı. Güncellemeler, PHP’nin desteklenen dört sürüm dalını kapsıyor. Yayınlanan güvenli sürümler şöyle:
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
PHP ekibi, internet isteklerini işleyen bütün PHP altyapısı kullanan kurulumların bu durumu kontrol etmesi gerektiğine dair bir açıklama da yayınladı. Resmi duyuruda riskin özellikle Apache mod_php kurulumlarında daha yüksek olduğuna dikkat çekiliyor.
RİSK DEVAM EDİYOR
PHP 8.1 ve daha eski sürümler ise artık PHP projesi tarafından resmi olarak desteklenmiyor. Bu sürümleri kullanan sistemlerin desteklenen bir sürüme geçirilmesi gerek.
Tüm bu güncellemelere rağmen riskin devam ettiğini de belirtelim. PHP geliştiricileri, yalnızca belirli ayarları değiştirerek bütün riskleri ortadan kaldıran geçici çözümün henüz bulunmadığını açıkladı. Başka bir ifadeyle, tüm riske rağmen güvenli sürüme geçmek önemli bir adım olarak gösterilmiş.
Güvenlik yamalarının yayınlanması önemli bir gelişme olsa da bütün internet sitelerinin aynı anda güvende olduğu anlamına gelmiyor. Burada asıl fark ise saldırıların tespit edilmesinin çok önemli olduğu. Güvenlik açığının kapatılması ne kadar önemliyse, daha önce ortaya çıkan açıktan bir saldırı yaşanıp yaşanmadığının belirlenmesi de o kadar kritik.
TÜRKİYE’DEN E-DEVLET AÇIKLAMASI
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, dünya genelinde kullanılan PHP yazılımında tespit edilen kritik güvenlik açıklarına ilişkin e-Devlet Kapısı’nda gerçekleştirilen güvenlik kontrollerinin tamamlandığını ve hizmetlerin güvenliğini olumsuz etkileyen herhangi bir sorun bulunmadığını bildirdi.
Başkanlıktan yapılan açıklamaya göre, 69 milyonu aşkın kullanıcıya hizmet veren e-Devlet Kapısı üzerinden sunulan kamu hizmetleri güvenli ve kesintisiz şekilde sürdürülüyor.
Vatandaşlara ait bilgileri tek bir merkezde toplamak yerine ilgili kamu kurumlarının sistemleriyle güvenli bağlantılar kurarak hizmet sunan e-Devlet Kapısı’nda, kişisel verilerin korunması amacıyla çok katmanlı güvenlik tedbirleri uygulanıyor.
Sistemler 7 gün 24 saat izlenirken, düzenli güvenlik testleri ve kontrolleriyle olası riskler takip ediliyor. Kamu kurumlarıyla kurulan dijital bağlantıların güvenliği de sürekli kontrol ediliyor.
KURUMLARA GÜVENLİK GÜNCELLEMESİ ÇAĞRISI
Siber Güvenlik Başkanlığı, kamu kurumları ve özel sektör kuruluşlarına PHP altyapılarını kontrol etmeleri, üretici tarafından yayımlanan güvenlik güncellemelerini uygulamaları ve güvenli yazılım sürümlerine geçmeleri çağrısını yineledi.
Özellikle güncelliğini yitirmiş yazılım bileşenlerinin tespit edilmesi, gerekli güvenlik kontrollerinin tamamlanması ve güncellemelerin gecikmeksizin yapılmasının önemine işaret edildi.
Başkanlığın, ilgili kurumlar ve Siber Olaylara Müdahale Ekipleriyle koordinasyon içerisinde ulusal ölçekte güvenlik taramalarını ve teknik takip çalışmalarını sürdürdüğü bildirildi.
Siber Güvenlik Başkanlığı, dün PHP yazılımında “PHP2Shell” olarak adlandırılan kritik güvenlik açıklarına karşı ulusal ölçekte taramalar başlatıldığını duyurmuş, ilgili kurum ve kuruluşlara acil tedbirlerin alınması yönünde bildirimler iletildiğini açıklamıştı.
DİĞER ÜLKELERDE SON DURUM NASIL?
PHP güvenlik açığı nedeniyle en dikkat çekici adımlardan bazıları Avrupa bölgesinde atıldı diyebiliriz. Bazı ülkeler, güvenlik güncellemeleri yayınlanmadan önce olası saldırı riskini azaltmak amacıyla kamuya açık internet hizmetlerini geçici olarak erişime kapattı.
Hollanda’da Overheid.nl ve MijnOverheid.nl gibi kamu hizmetleriyle bağlantılı bazı siteler önlem kapsamında geçici olarak kapatıldı. Finlandiya’da da devletin bilişim hizmetlerinden sorumlu Valtori, bazı kamuya açık internet hizmetlerini geçici olarak kapattı.
Fransa’da valiliklerin internet siteleri dahil olmak üzere bazı kamu hizmetlerinin erişime kapatıldığı açıklandı. Almanya’da federal bilişim hizmetlerini yürüten ITZBund’un bazı internet siteleri için önlem aldığı aktarıldı. Belçika başta olmak üzere birçok ülkede Dışişleri Bakanlığı gibi birçok kuruma ait internet sitesi geçici olarak kapatılan hizmetler arasında yer aldı.
Alınan bu kararların tamamını doğrulanmış bir siber saldırının sonucu değil. Hemen hemen her ülke, bizim de yaptığımız gibi güvenlik taraması yapıyor ve olası bir saldırı yaşanıp yaşanmadığını kontrol ediyor. Kapatılmaların ana sebebi de tamamen güvenlik amaçlı.
Yani kurumlar, sistemlerinin saldırıya uğradığını belirledikleri için değil, saldırı ihtimalini azaltmak amacıyla hizmetlerini geçici olarak durduruyor. Dolayısıyla internet sitelerinin erişime kapatılması, tek başına veri sızıntısı yaşandığını göstermiyor.
ABD’DEN GÜVENLİK UYARILARI
ABD’de ise güvenlik kurumları özellikle güncelleme, sistemlerin belirlenmesi ve olası saldırıların izlenmesi üzerinde duruyor.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), etkilenen PHP kurulumlarının güncellenmesi gerektiğine yönelik uyarılar yayımladı. Kanada Siber Güvenlik Merkezi de PHP2Shell açıklarının internete açık sistemlerde ciddi risk oluşturduğunu belirterek kurumların güvenli sürümlere geçmesini istedi.
Bu yaklaşım, güvenlik açığının yalnızca internet sitesinin görünen kısmından ibaret olmadığını gösteriyor. Bir kuruluş, kendi yazılımında PHP kullandığının farkında olmasa bile kullandığı bir ürünün veya hizmetin içinde savunmasız bir PHP bileşeni bulunabilir. Bu da o kurumun altyapısı PHP olmasa bile, yine sistemlerinin risk altında olduğunu gösteriyor.
SALDIRI AÇIKLAMALARINDA FARKLI İFADELER VAR
PHP2Shell olayında dikkat çeken bir diğer konu, saldırıların durumu hakkında yapılan açıklamalar arasındaki fark. Bazı ulusal kurumlar duyuru sırasında aktif bir saldırı tespit etmediklerini belirtirken, güvenlik şirketleri ise saldırı girişimlerine ilişkin bulgular paylaştı.
örneğin bu güvenlik şirketlerinden biri olan watchTowr, açıkların istismar edilmesine yönelik araştırmalar ve saldırı faaliyetleri konusunda uyarılarda bulundu. Cloudflare da PHP2Shell için koruma kuralları devreye aldığını ve saldırı trafiğini izlediğini açıkladı.
Bu nedenle sistem yöneticilerinin yalnızca yeni güvenlik duyurularını beklemesi yerine güncellemeleri uygulaması, sistem kayıtlarını incelemesi ve şüpheli etkinlikleri araştırması gerekiyor.
PHP için çok hızlı bir şekilde güvenlik yamalarının yayınlanması, olayın çözümü açısından önemli bir adım. Ancak eski sürümlerin kullanımda kalması, güncellemelerin gecikmesi ve daha önce gerçekleşmiş olabilecek saldırıların araştırılmaması riskin devam etmesine neden olabilir. Ülkemizde de başlatılan taramalar ve diğer ülkelerin aldığı önlemler de bu nedenle çok büyük bir önem taşıyor.
