Washington'daki J. Edgar Hoover FBI binasının giriş tabelası (temsili)

ABD Federal Soruşturma Bürosu (FBI) Siber Bölümü ve Ulusal Güvenlik Ajansı (NSA), PHP çekirdeğinde bulunan iki kritik açık için kurumlara acil güncelleme çağrısı yaptı. İki kurum da sistemleri hemen güncelleme imkânı bulunmuyorsa, güvenlik açıkları tamamen giderilene kadar sunucuların çevrim dışı alınmasını tavsiye etti. Açıklar kimlik doğrulaması olmadan uzaktan kod çalıştırmaya izin verebiliyor. Aynı saatlerde Avrupa'da çok sayıda kamu sitesi önlem amacıyla geçici olarak kapatıldı.

PHP geliştiricileri, 21 Ekim 2026 tarihinde 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımlayarak açıkları kapattı. SGH, yamaların teknik ayrıntılarını ve Siber Güvenlik Başkanlığı bildirimini önceki haberinde, Başkanlığın kurumları kapsayan ulusal tarama sürecini ise ayrı bir haberde aktarmıştı.

ABD kurumları ne istedi

FBI Siber Bölümü, 21 Ekim 2026 tarihinde paylaştığı uyarıda CVE-2026-109618 ve CVE-2026-109619 açıklarının CVSS puanının 9,2 olduğunu bildirdi. Kurum, sistem yöneticilerinden PHP altyapılarının envanterini çıkarmalarını, internete açık sunuculara öncelik vermelerini ve web sunucularında beklenmedik komut kabuğu (shell) açılması ya da dosya indirilmesi gibi şüpheli hareketleri izlemelerini istedi. Saldırı izi bulunursa sistemin yalıtılmasını, web sunucusu ve PHP kayıtlarının (log) saklanmasını ve durumun yerel FBI ofisine ya da ic3.gov adresine bildirilmesini istedi.

NSA, 21 Ekim 2026 saat 16.45'te (TSİ) X'teki gönderisinde bu tür açıkların çoğu zaman sunucunun dosya sistemine ya da veritabanına doğrudan yol açabildiğini belirtti. Aynı gün yayımladığı duyuruda açıkların barındırılan uygulamada değil PHP'nin kendisinde olduğunu vurgulayan kurum; kayıt tutmanın artırılmasını, desteği biten PHP hizmetlerinin değiştirilmesini ve hemen güncelleme mümkün değilse sistemlerin çevrim dışı alınmasını önerdi. NSA'ya göre riskler, ABD hükümet kurumlarında acil yama gerektirecek kadar ciddi. Kurum 22 Ekim 2026 saat 03.43'te (TSİ) ayrıntılı önlem yönergesinin yayımlandığını duyurdu. CISA da açıkların web isteği karşılayan tüm PHP kurulumlarını etkilediğini belirterek hemen güncelleme çağrısı yaptı; güncelleyemeyenlere ve PHP 8.1 ile öncesini kullananlara sistemleri çevrim dışı almalarını önerdi.

Dünyada siteler kapatıldı

Japonya Başbakanı Sanae Takaichi, 21 Ekim 2026'da X'teki gönderisinde herkesten web sitelerinde PHP kullanılıp kullanılmadığını kontrol etmesini ve Japonya saatiyle 23.00'te (17.00 TSİ) yayımlanacak yamayı bu gece uygulamaya hazırlanmasını istedi. Takaichi, yama hemen uygulanamıyorsa siteyi geçici olarak durdurmanın riski azaltmanın etkili yollarından biri olduğunu belirtti.

Rijksoverheid açıklamasına göre Hollanda'da DigiD, MijnOverheid ve Overheid.nl gibi kamu portalları önlem amacıyla çevrim dışı alındı; açıklamaya göre o sırada açıkların kötüye kullanıldığına dair işaret yoktu ve Rijksoverheid.nl gibi hükümet sitelerinin büyük kısmı PHP kullanmıyor. Reuters'ın derlemesine göre Almanya'da federal hizmet sağlayıcı ITZBund bazı siteleri kapatırken, Fransa İçişleri Bakanlığı valilik sitelerini, Çekya ise hükümet sitesini geçici olarak erişime kapattı. Finlandiya'da devlet bilişim merkezi Valtori, hükümetin kamuya açık web hizmetlerini önlem olarak kapattı; istismar girişimi tespit etmediğini ve veri ihlali olmadığını bildirdi. Belçika Dışişleri Bakanlığı sitelerini kapatırken ulusal siber güvenlik merkezi ülkedeki sitelere yönelik bir saldırı kaydetmediğini açıkladı. Wikimedia Vakfı da bazı sistemlerini geçici olarak kapattığını duyurdu. CNBC aktarımına göre Danimarka'da belediye altyapı sağlayıcısı Kombit ulusal okul iletişim platformu dahil bazı hizmetlerini, Hollanda siber güvenlik kurumu NCSC ise kendi resmi web sitesini önlem amacıyla kapattı.

İstismar girişimleri ve risk durumu

Güvenlik şirketleri ilk istismar girişimlerinin tespit edildiğini duyurdu. watchTowr, yamaların çıktığı saatlerde sensörlerine istismar girişimleri ulaştığını ancak başarılı bir sızma görülmediğini açıkladı. SecurityWeek'e göre Hadrian, Patchstack ve Cloudflare de girişimler gördüğünü bildirdi. CERT-EU, kavram kanıtı (PoC) kodlarının internette dolaşmaya başladığını ve istismar riskinin yükseldiğini duyurdu. CISA ise duyuru anında istismar gözlemlemediğini belirtti; açıklar 22 Ekim 2026 sabahı itibarıyla CISA KEV kataloğuna eklenmedi.

Türkiye açısından

T.C. Siber Güvenlik Başkanlığı, 21 Ekim 2026 tarihinde yayımladığı TR-26-1372 kodlu bildirimle etkilenen sistemlerin belirlenip güvenli sürümlere yükseltilmesini istedi. Başkanlık; yönetim arayüzlerine ve kritik PHP servislerine dış erişimin yalnız yetkili IP adresleriyle sınırlandırılmasını ve yurt dışı trafiği gerekmeyen sistemlerin uluslararası erişime kapatılmasını tavsiye etti.

Anadolu Ajansı aktarımına göre Başkanlık, kamu kurumları başta olmak üzere Türkiye genelinde güvenlik taraması başlattı ve Siber Olaylara Müdahale Ekipleri (SOME) İletişim Platformu üzerinden tüm kurum, kuruluş ve kritik altyapılara acil güvenlik duyurusu iletti. Türkiye'de etkilenen kurum, kapatılan web sitesi ya da saldırı tespiti konusunda şu ana kadar herhangi bir veri açıklanmadı.

Sunucu yöneticilerinin php -v komutuyla mevcut sürümü kontrol etmesi, sistemleri 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 seviyesine yükseltmesi gerekiyor. Paylaşımlı sunucu kullananların barındırma firmasından güncellemeyi teyit etmesi, desteği biten 8.1 ve önceki sürümleri ise desteklenen bir sürüme taşıması önem taşıyor.

Kaynaklar

Kapak fotoğrafı (temsili): Washington'daki J. Edgar Hoover FBI binasının giriş tabelası, Tim Evanson / Wikimedia Commons, CC BY-SA 2.0 (1200×675 kırpıldı). Fotoğraf 2012 tarihlidir; haberdeki olayı göstermez.