PHP açığı dünyada siber alarm: Avrupa'da devlet siteleri kapatıldı, milyonlarca site için kritik uyarı

Avrupa Birliği Siber Güvenlik Ajansı ENISA, CERT-EU, Europol EC3 ve Avrupa Komisyonu, kuruluşlara ortak çağrıda bulunarak güvenlik güncellemelerinin vakit kaybetmeden uygulanmasını istedi. Türkiye'de de Siber Güvenlik Başkanlığı aynı açıklar için ulusal uyarı yayımlamıştı.

İki kritik açık tespit edildi

Güvenlik açıkları CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip ediliyor. ENISA'nın açıklamasına göre açıklar, saldırganların savunmasız sunucularda kimlik doğrulaması yapmadan uzaktan zararlı kod çalıştırmasına olanak sağlayabilecek nitelikte. Açıkları PHP'ye bildiren Wiz Research'e göre PHP 5.4'ten bu yana bütün sürümler en az bir açıktan etkileniyor. Açıkların ayrıntıları, koordineli duyurudan önce 20 Ekim'de sızdı; açık kamuoyunda "PHP2Shell" adıyla anılıyor. PHP güvenlik ekibi, açıkları kapatan güncellemeleri 21 Ekim'de yayımladı ve sistem yöneticilerine güncellemeleri hızla uygulama çağrısı yaptı.

Hollanda'da dijital devlet hizmetleri kapatıldı

En dikkat çekici önlemlerden biri Hollanda'da alındı. Hollanda hükümeti, PHP açıkları nedeniyle bazı internet sitelerinin tedbir amacıyla çevrimdışı bırakıldığını açıkladı. Bunlar arasında Overheid.nl, MijnOverheid.nl ve DigiD gibi önemli kamu hizmetleri de yer aldı. Reuters'a göre Rotterdam Limanı'nın internet sitesi, Hollanda Futbol Federasyonu KNVB'nin sitesi, büyük siyasi partilerin siteleri ve bazı hastane internet siteleri de geçici olarak çevrimdışı bırakılan hizmetler arasında yer aldı. Hollanda Ulusal Siber Güvenlik Merkezi de kendi internet sitesini önlem amacıyla geçici olarak kapattı ve PHP kullanan kurumların sistemlerinin "dış saldırganlarca tamamen ele geçirilmesi riskinin çok yüksek" olduğunu bildirdi.

Finlandiya ve Fransa'da da önlem

Finlandiya'da devletin bilgi teknolojileri hizmet sağlayıcısı Valtori, kamuya açık devlet ağ hizmetlerinin önleyici tedbir olarak çevrimdışı bırakıldığını ve herhangi bir ihlal belirtisi bulunmadığını bildirdi. Fransa İçişleri Bakanlığı da güvenlik güncellemesi uygulanana kadar bazı yerel yönetim hizmetlerinin internet sitelerini geçici olarak kapattı. Danimarka'da ise belediyelere teknoloji hizmeti sağlayan Kombit, bazı sistemleri devre dışı bıraktı. Bunların arasında ülke çapında kullanılan okul iletişim platformu da bulunuyor.

İngiltere'den "gerekirse çevrimdışı bırakın" uyarısı

İngiltere Ulusal Siber Güvenlik Merkezi NCSC de kritik bir güvenlik uyarısı yayımladı. NCSC, PHP kullanan kurumların sistemlerini tespit etmesini, özellikle internete doğrudan açık sistemleri kontrol etmesini ve yayımlanan güncellemeleri derhal uygulamasını istedi. Güncellemenin hemen yapılamadığı sistemlerin ise risk ortadan kaldırılana kadar çevrimdışı bırakılmasının değerlendirilmesi tavsiye edildi. Kanada ve Avustralya'daki siber güvenlik kurumları da benzer uyarılar yayımladı.

Saldırı girişimleri başladı mı?

Reuters'ın aktardığına göre Cloudflare Teknoloji Direktörü Dane Knecht, ilk saldırı girişimlerinin görülmeye başlandığını ve şirketin geçici koruma amacıyla güvenlik duvarı kurallarını güncellediğini açıkladı. Ancak ülkeler ve kurumlar arasında aktif istismar konusunda farklı gözlemler bulunuyor. Hollanda makamları ilk açıklamalarında aktif kötüye kullanım tespit etmediklerini bildirdi; Belçika'nın siber güvenlik merkezi ve Finlandiya'daki Valtori de istismar görmediklerini açıkladı. Bu nedenle internet sitelerinin kapatılması, bu kurumların saldırıya uğradığı anlamına gelmiyor. Birçok hizmet tedbir amacıyla çevrimdışı bırakıldı.

PHP neden bu kadar önemli?

PHP, internet sitelerinin sunucu tarafında çalışmasını sağlayan dünyanın en yaygın programlama teknolojilerinden biri. Reuters'ın aktardığı W3Techs verilerine göre PHP, kullanılan sunucu tarafı programlama dili belirlenebilen internet sitelerinin yaklaşık yüzde 75'inde bulunuyor. WordPress'in de PHP altyapısına dayanması olayın potansiyel boyutunu büyütüyor; WordPress dünya genelindeki internet sitelerinin yaklaşık yüzde 43'ünde kullanılıyor. Bu nedenle uzmanlar özellikle güncellenmemiş sunucular, küçük işletmeler, haber siteleri, e-ticaret sistemleri ve paylaşımlı hosting hizmetleri açısından önümüzdeki saat ve günlerin kritik olduğuna dikkat çekiyor.

Acil güncelleme çağrısı

PHP geliştiricileri güvenlik açıklarını kapatan yeni sürümleri yayımladı: PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12. Avrupa'daki siber güvenlik kurumları, internet üzerinden erişilebilen PHP sistemlerine öncelik verilmesini ve güvenlik yamalarının mümkün olan en kısa sürede uygulanmasını istiyor. Güncelleme uygulanamayan sistemlerin ise güvenli hale getirilene kadar internet erişiminin sınırlandırılması veya tamamen kapatılması öneriliyor. Dünya genelinde milyonlarca internet sitesinin PHP teknolojisine dayanması nedeniyle gelişmeler yakından takip ediliyor.