Siber Güvenlik Başkanlığı, 21 Ekim 2026 tarihli ve TR-26-1372 kodlu güvenlik bildiriminde dünya genelinde yaygın olarak kullanılan PHP yazılım altyapısında iki kritik güvenlik açığı tespit edildiğini duyurdu. Siber araştırmacılar tarafından “php2shell” olarak adlandırılan bu zafiyetlerin, saldırganlara uzaktan kod çalıştırma (RCE) olanağı sunduğu bildirildi.
Başkanlık; kamu kurumları, kritik altyapı işletmecileri ve özel sektör kuruluşlarına sistemlerini derhal gözden geçirerek gerekli tedbirleri almaları çağrısında bulundu.
"php2shell" Zafiyetleri Nedir? (CVE-2026-109618 ve CVE-2026-109619)
Açık kaynaklar ve PHP güvenlik ekibi analizlerine dayandırılan bildirimde, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlanan iki ayrı kritik açık tespit edildi.
Uzaktan Kod Çalıştırma (RCE) Tehlikesi: Kötü niyetli aktörlerin bu açıkları başarılı bir şekilde istismar etmesi durumunda, PHP tabanlı uygulamaların çalıştığı sunucu ve sistemlerde yetkisiz kod çalıştırılabiliyor.
Veri Gizliliği ve Hizmet Kesintisi: Saldırganlar, uygulamanın yetkileri dahilinde tüm sistem kaynaklarına erişerek veri sızıntılarına, veri manipülasyonuna veya kritik hizmetlerin tamamen durmasına yol açabiliyor.
Ulusal Çapta Güvenlik Taramaları Başlatıldı
Siber Güvenlik Başkanlığı, zafiyetin olası zararlarını en aza indirmek ve tehditleri erken aşamada tespit edebilmek amacıyla ulusal ölçekte güvenlik taramaları başlatıldığını açıkladı. Dijital altyapıların korunması ve kamu/özel sektör hizmetlerinin kesintisiz sürdürülebilmesi adına kurumlar arası acil koordinasyon mekanizmasının devreye alındığı kaydedildi.
Kurumların Alması Gereken Acil Önlemler
Siber Güvenlik Başkanlığı bildiriminde, riskleri azaltmak ve sistem güvenliğini sağlamak amacıyla kurum ve kuruluşların gecikmeksizin uygulaması gereken adımlar şöyle sıralandı:
1. Güvenli Sürüme Geçiş: PHP resmi güvenlik ekibinin yayımlayacağı yamalar takip edilerek, etkilenen sistemlerin vakit kaybetmeden güvenli sürümlere yükseltilmesi.
2. Erişim Kısıtlamaları (ACL ve Firewall): Yönetim panelleri ile kritik PHP servislerine dışarıdan erişimlerin sınırlandırılması; yalnızca güvenilir ve yetkili IP adreslerine izin verilmesi.
3. Uluslararası Trafik Engelleyici: Yurt dışı erişim ihtiyacı bulunmayan sistemlerin ivedilikle uluslararası internet trafiğine kapatılması.
