Siber Güvenlik Başkanlığı’ndan PHP alarmı: Kurumlara acil güvenlik önlemi çağrısı
- Siber Güvenlik Başkanlığı, PHP altyapısında tespit edilen kritik güvenlik açıklarının ardından ulusal ölçekte güvenlik taramaları başlattı. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla anılan zafiyetlerin uzaktan kod çalıştırılmasına olanak tanıyabileceği belirtilirken, kurumlara acil önlem çağrısı yapıldı.
Siber Güvenlik Başkanlığı, dünya genelinde yaygın olarak kullanılan PHP yazılım altyapısında tespit edilen kritik güvenlik açıklarına ilişkin uyarıda bulundu. Başkanlık, olası risklerin erken tespit edilmesi ve etkilerinin sınırlandırılması amacıyla ulusal ölçekte güvenlik taramalarının başlatıldığını, ilgili kurum ve kuruluşlara acil güvenlik bildirimlerinin iletildiğini açıkladı.
CNBCE.COM'u öncelikli haber kaynağınız olarak ekleyin EkleAçık kaynaklarda yer alan bilgilere göre, PHP programlama dilini etkileyen iki kritik güvenlik zafiyeti bulunuyor. Güvenlik araştırmacıları tarafından “php2shell” olarak adlandırılan bu zafiyetlerin, uzaktan kod çalıştırılmasına (RCE) olanak tanıyabileceği bildiriliyor. Zafiyetlere ilişkin ayrıntıların PHP güvenlik ekibinin yayımlayacağı resmî güvenlik duyurusuyla açıklanması bekleniyor.
İki kritik güvenlik açığı tespit edildi
Söz konusu zafiyetler CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlanıyor.
Zafiyetlerin başarılı şekilde istismar edilmesi halinde, etkilenen PHP tabanlı uygulamaların çalıştığı sistemlerde yetkisiz kod çalıştırılması riski bulunuyor. Saldırganların, uygulamaların sahip olduğu yetkiler ölçüsünde sistem kaynaklarına erişebilmesi mümkün olabiliyor.
Bu durumun uygulamalarda tutulan verilerin gizliliği ve bütünlüğünü tehlikeye atabileceği, ayrıca hizmetlerin sürekliliğini olumsuz etkileyebileceği değerlendiriliyor.
Kurumlara acil güvenlik önlemi çağrısı
Siber Güvenlik Başkanlığı, kamu kurumlarının, kritik altyapı işletmecilerinin ve özel sektör kuruluşlarının sistemlerini gözden geçirerek gerekli güvenlik önlemlerini almasının önem taşıdığını bildirdi.
Güvenlik uzmanlarının önerileri doğrultusunda kurum ve kuruluşların şu adımları uygulaması gerekiyor:
Güvenlik güncellemelerini uygulayın: Üreticinin resmî güvenlik güncellemesi yayımlandığında etkilenen sistemleri belirleyin ve sistemleri üreticinin sağladığı güvenli sürümlere gecikmeden yükseltin.
Dış erişimleri sınırlandırın: Yönetim arayüzlerine ve kritik PHP servislerine yönelik erişimleri güvenlik duvarı (Firewall/ACL) kurallarıyla yalnızca güvenilir ve yetkili IP adresleriyle kısıtlayın.
Gereksiz uluslararası trafiği kapatın: Yurt dışından erişim ihtiyacı bulunmayan sistemleri ivedilikle uluslararası trafiğe kapatın.
Resmî güvenlik güncellemesi yayımlanana kadar kurumların etkilenen sistemlerini belirlemesi ve erişim kontrollerini gözden geçirmesi önem taşıyor.
Ulusal ölçekte koordinasyon sürüyor
Siber Güvenlik Başkanlığı, dijital altyapıların korunması ve kritik hizmetlerin sürekliliğinin sağlanması amacıyla ulusal düzeyde koordinasyon ve önleyici güvenlik çalışmalarının devam ettiğini bildirdi.
PHP altyapısındaki zafiyetlere ilişkin teknik ayrıntıların resmî güvenlik duyurusuyla netleşmesi beklenirken, kurum ve kuruluşların güncellemeleri takip etmesi ve mevcut güvenlik önlemlerini gecikmeden gözden geçirmesi gerekiyor.
