Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, PHP'deki iki kritik açık için ulusal ölçekte uyarı yayımladı. CVSS 9.2 puanlı açıklar, kimlik doğrulaması olmadan sunucuda kod çalıştırılmasına imkân tanıyor.
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, 21 Ekim 2026 tarihinde PHP yazılımındaki iki kritik güvenlik açığı için ulusal ölçekte uyarı yayımladı. TR-26-1372 referanslı bildirimde kurumlardan internete açık altyapılarını gözden geçirmeleri ve yayımlanan güvenlik güncellemelerini gecikmeksizin uygulamaları istendi. Başkanlık, SOME iletişim platformu üzerinden kurumlara ve kritik altyapı işletmecilerine acil bildirim gönderdiğini, ayrıca ulusal ölçekte güvenlik taramaları yürüttüğünü duyurdu.
Açık tam olarak ne?
Güvenlik camiasında PHP2Shell adıyla anılan açıklar, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip ediliyor. SecurityWeek'in CERT-EU verilerine dayandırdığı habere göre her iki açığın da CVSS puanı 9.2. Her ikisi de bellek yönetimi hatalarından kaynaklanıyor: biri bellek yetersizliği anında yarım kalan istek verisinin geçerli kabul edilmesine, diğeri bir isteğe ait verinin serbest bırakıldıktan sonra aynı işçi sürecindeki bir sonraki istekte yeniden kullanılmasına yol açıyor. Sonuç her iki durumda da aynı: kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma.
Help Net Security'nin aktardığına göre web isteği karşılayan tüm PHP kurulumları etkileniyor; bunlar arasında PHP-FPM, Apache üzerinde mod_php, php-cgi, FrankenPHP ve LiteSpeed yer alıyor. En yüksek risk mod_php yapılandırmalarında. Düzeltmeler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleriyle acil güncelleme olarak yayımlandı. PHP 8.1 ve öncesi üretici desteği dışında kaldığı için bu sürümlerde yalnızca kaynak koddan derlemeye yönelik sınırlı yamalar bulunuyor.
Neden bu kadar aceleci bir uyarı?
Teknik ayrıntılar, planlanan koordineli açıklama takviminden önce internete sızdı. SecurityWeek'in aktardığına göre güvenlik firmaları, yamalar yayımlanmadan önce bile sömürü denemeleri gözlemledi. Saldırı tek bir kimliksiz istekle, daha uygulama kodu çalışmadan tetiklenebiliyor; yani sizin yazılımınızda bir hata olmasa dahi risk ortadan kalkmıyor. Birleşik Krallık NCSC, hemen güncellenemeyen sistemlerin geçici olarak çevrimdışına alınmasını öneriyor.
Türkiye ve KOBİ tarafındaki karşılığı
PHP; kurumsal web siteleri, e-ticaret altyapıları, bayi ve müşteri panelleri, intranet uygulamaları ve WordPress gibi içerik yönetim sistemlerinin temelinde çalışıyor. Paylaşımlı hosting kullanan KOBİ'lerde güncelleme sorumluluğu çoğunlukla sağlayıcıda, kendi sunucusunu işleten firmalarda ise doğrudan işletmede. Bu ayrımı netleştirmemiş şirketler, kimsenin yamayı uygulamadığı bir boşlukta kalabiliyor.
Konunun mevzuat tarafı da var. Kişisel veri işleyen bir web uygulaması üzerinden yetkisiz erişim yaşanması hâlinde 6698 sayılı Kanun'un 12. maddesi kapsamında Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü doğuyor. Kurul'un yerleşik uygulamasında bu bildirim, ihlalin öğrenilmesinden itibaren 72 saat içinde yapılmalı.
Kamer Bilişim olarak ne öneriyoruz?
- Önce envanter çıkarın, sonra yamayı uygulayın. Şirketinize ait web sitesi, panel ve uygulamaların hangi sunucuda ve hangi PHP sürümüyle çalıştığını tek bir listede toplayın. Sunucuda php -v çıktısı ve kurulum tipi (mod_php, PHP-FPM, LiteSpeed) not edilsin; mod_php kullanan sistemler sıraya en başa alınsın.
- Hosting sağlayıcınızdan yazılı teyit isteyin. Paylaşımlı hosting veya dış kaynaklı sunucu kullanıyorsanız, güncellemenin yapılıp yapılmadığını ve hangi sürüme geçildiğini e-posta ile sorun. Sözlü teyit yeterli değil; KVKK denetiminde kayıt gerekir.
- Erişimi daraltın ve logları geriye dönük tarayın. Yönetim panelleri, test ortamları ve kullanılmayan alt alan adları internete kapatılsın. Web sunucusu erişim loglarında son bir haftaya ait olağandışı POST istekleri ve bilinmeyen dosya oluşturma hareketleri kontrol edilsin.
Kamer Bilişim olarak İstanbul Anadolu Yakası genelinde ve uzaktan destekle; sunucu envanteri çıkarma, PHP sürüm güncellemesi, hosting sağlayıcı koordinasyonu ve log incelemesi konularında kurumsal müşterilerimize destek veriyoruz. Altyapınızın bu açıklardan etkilenip etkilenmediğini kontrol ettirmek için iletişim sayfamızdan bize ulaşabilirsiniz.
Kaynak: Siber Güvenlik Başkanlığı (TR-26-1372), Help Net Security, SecurityWeek
Kaynak: Help Net Security