Siber Güvenlik Başkanlığı: PHP2Shell Açıklarına Karşı e-Devlet Kesintisiz Çalışıyor
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, dünya genelinde milyonlarca internet sitesinin üzerinde çalıştığı PHP yazılımında ortaya çıkan “PHP2Shell” açıklarına karşı ulusal ölçekte yürüttüğü çalışmaların sürdüğünü açıkladı. Başkanlığa göre e-Devlet Kapısı başta olmak üzere kamunun dijital hizmetlerinde herhangi bir kesinti yaşanmadı.
Açıklamada, 69 milyonu aşkın kullanıcıya hizmet veren e-Devlet Kapısı’nda yapılan incelemelerde hizmetlerin güvenliğini etkileyen bir sorun bulunmadığı belirtildi. Kurum ve kuruluşlara ise PHP altyapılarını kontrol edip güncellemeleri gecikmeden uygulama çağrısı yinelendi.
PHP2Shell nedir?
PHP, internet sitelerinin ve kurumsal web uygulamalarının büyük bölümünün arka planında çalışan programlama dili. PHP2Shell adı verilen sorun, bu dilin kendisinde bulunan iki kritik açıktan oluşuyor: CVE-2026-109618 ve CVE-2026-109619. Siber Güvenlik Başkanlığı’nın tarifiyle açıklar, belirli koşullarda kötü niyetli kişilerin kullanıcı adı ya da şifreye ihtiyaç duymadan savunmasız sistemlere müdahale edebilmesine imkân tanıyor.
Uluslararası güvenlik kaynaklarına göre her iki açık da CVSS 4.0 ölçeğinde 9,2 puanla “kritik” sınıfta. İlk açık, istek işlenirken bellek tükenmesi sırasında oluşan bir bozulmadan; ikincisi ise bir isteğin bıraktığı verinin aynı sunucu sürecindeki sonraki istek tarafından yeniden kullanılabilmesinden kaynaklanıyor. Başarılı bir saldırı, kimlik doğrulama gerekmeden sunucuda uzaktan kod çalıştırılmasına kadar gidebiliyor.
Yamalar 21 Ekim’de yayımlandı
PHP geliştiricileri 21 Ekim 2026’da desteklenen sürüm dalları için acil güncellemeler yayımladı. Eski dallarda ise durum daha karmaşık: bazı sürümler için yalnızca kaynak kod düzeyinde düzeltme bulunuyor, PHP 5 ve 7’nin eski sürümleri için yama yok.
| Sürüm dalı | Güvenli sürüm |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1 / 8.0 / 7.4 | Resmî paket yok; kaynak kod düzeyinde yama yayımlandığı bildirildi |
| PHP 5.x – 7.3 | Yama yok; desteklenen sürüme geçiş gerekiyor |
Açığın sahada istismar edilip edilmediği konusunda güvenlik şirketlerinin değerlendirmeleri farklı. Amazon’un tehdit istihbaratı ekibi, açık kamuoyuna duyurulmadan önce, 17 Ekim’de tuzak sunucu ağında bir istismar girişimi kaydettiğini bildirdi. Bazı araştırma şirketleri ise geniş çaplı istismara dair resmî bir doğrulama bulunmadığını not ediyor.
Kurumlara “eski yazılımları tespit edin” çağrısı
Siber Güvenlik Başkanlığı, kamu kurumları ile özel sektör kuruluşlarından üreticinin yayımladığı güvenlik güncellemelerini uygulamalarını ve güvenli sürümlere geçmelerini istedi. Açıklamada özellikle geçmiş dönemlerden kalan, güncelliğini yitirmiş yazılım bileşenlerinin bulunup güvenlik kontrollerinin tamamlanmasının önemine dikkat çekildi.
Başkanlık, ilgili kurumları bilgilendirdiğini, ulusal ölçekte güvenlik taramaları ve teknik takip çalışmaları yürüttüğünü bildirdi. Süreç, Siber Olaylara Müdahale Ekipleri (SOME) ile koordinasyon içinde izleniyor. Kurumların teknik tedbirlere ilişkin ayrıntılara Başkanlığın resmî güvenlik duyurusundan ulaşabileceği belirtildi.
e-Devlet nasıl korunuyor?
Açıklamaya göre e-Devlet Kapısı, vatandaş bilgilerini tek bir merkezde toplamıyor; hizmetleri ilgili kamu kurumlarının sistemleriyle kurulan güvenli bağlantılar üzerinden sunuyor. Platformda çok katmanlı güvenlik tedbirleri uygulanıyor, sistemler 7 gün 24 saat izleniyor ve düzenli güvenlik testleriyle riskler takip ediliyor. Kurumlarla kurulan dijital bağlantıların güvenliği de uluslararası bilgi güvenliği ve iş sürekliliği standartları doğrultusunda sürekli denetleniyor.
Dijital altyapının savunmadaki yerine ilişkin çerçeve için Savunma siber güvenliği nedir? dosyamıza bakabilirsiniz.
Kaynaklar
- T.C. Cumhurbaşkanlığı Siber Güvenlik Başkanlığı basın açıklaması, Ekim 2026
- Help Net Security — PHP2Shell yamaları
- BleepingComputer — PHP acil yamaları
- The Hacker News — PHP2Shell ve geçici önlemler
