Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, PHP2Shell açıklarına ilişkin e-Devlet Kapısı'nda yaptığı güvenlik kontrollerinin tamamlandığını, hizmetlerin güvenliğini olumsuz etkileyen bir sorun tespit edilmediğini ve e-Devlet hizmetlerinin kesintisiz sürdüğünü 22 Ekim 2026'da açıkladı. 69 milyonu aşkın kullanıcıya hizmet veren platforma ilişkin açıklamayı Anadolu Ajansı (AA) ve İHA aktardı.
İHA'nın aktardığı Başkanlık metninde şu cümle yer aldı: «69 milyonu aşkın kullanıcıya hizmet veren e-Devlet Kapısı'nda PHP altyapısında tespit edilen kritik güvenlik açıklarına ilişkin gerçekleştirilen incelemelerde, hizmetlerin güvenliğini olumsuz etkileyen herhangi bir sorun tespit edilmedi.»
Başkanlık, PHP2Shell açıkları (CVE-2026-109618 ve CVE-2026-109619) nedeniyle 21 Ekim 2026'da kamu kurumları başta olmak üzere ulusal ölçekte güvenlik taraması başlatmış ve kurumlara acil güvenlik bildirimleri iletmişti. SGH, ulusal taramanın başladığını önceki haberde aktarmıştı. PHP ise aynı gün 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımlayarak bu açıkları kapattı. Başkanlığın PHP açıklarına ilişkin güvenlik bildirimi ise 21 Ekim tarihli, TR-26-1372 kodlu bildirim.
e-Devlet Kapısı Nasıl Korunuyor
Başkanlığın açıklamasına göre e-Devlet Kapısı, vatandaşlara ait bilgileri tek bir merkezde toplamıyor; ilgili kamu kurumlarının sistemleriyle güvenli bağlantılar kurarak hizmet sunuyor. Kişisel verilerin korunması amacıyla altyapıda çok katmanlı güvenlik tedbirleri uygulanıyor.
Sistemler 7 gün 24 saat izleniyor, olası riskler düzenli güvenlik testleri ve kontrollerle takip ediliyor. Kamu kurumlarıyla kurulan dijital bağlantıların güvenliği de sürekli kontrol ediliyor.
Kurumlara Güvenlik Çağrısı
Siber Güvenlik Başkanlığı; kamu kurumları ve özel sektör kuruluşlarına PHP altyapılarını kontrol etmeleri, üretici tarafından yayımlanan güvenlik güncellemelerini uygulamaları ve güvenli yazılım sürümlerine geçmeleri yönündeki çağrısını yineledi. Özellikle güncelliğini yitirmiş yazılım bileşenlerinin tespit edilmesi, güvenlik kontrollerinin tamamlanması ve güncellemelerin gecikmeksizin yapılması istendi.
Başkanlık, ilgili kurumlar ve Siber Olaylara Müdahale Ekipleri (SOME) ile koordinasyon içinde ulusal ölçekte güvenlik taramalarını ve teknik takip çalışmalarını sürdürüyor. Açıklamaya göre kurum ve kuruluşlar, teknik güvenlik tedbirlerinin ayrıntılarına Başkanlığın resmi güvenlik duyurusundan ulaşabiliyor. İHA'nın aktardığı metne göre PHP2Shell açıkları, belirli koşullarda kötü niyetli kişilerin kullanıcı adı veya şifreye ihtiyaç duymadan savunmasız sistemlere müdahale edebilmesine imkân tanıyor.
Bilinmeyenler ve Sistem Yöneticileri İçin Adımlar
Açıklamada vatandaşlardan şifre değiştirme gibi herhangi bir işlem yapması istenmedi. e-Devlet Kapısı'nda hangi kontrollerin yapıldığı, e-Devlet altyapısının PHP kullanıp kullanmadığı ve incelemenin ne zaman başlayıp bittiği açıklanmadı. Diğer kamu kurumlarındaki tarama sonuçları ile taranan sistem sayıları da kamuoyuyla paylaşılmadı. Türkiye'de bu açıklar üzerinden bir saldırı ya da veri ihlali bildirilmedi. İki açık da 22 Ekim itibarıyla CISA'nın gerçek saldırılarda kullanıldığı bilinen açıklar kataloğunda (KEV) yer almıyor.
Başkanlığın çağrısı ve TR-26-1372 bildirimi doğrultusunda kurum ve şirketlerdeki sistem yöneticileri için öne çıkan adımlar şunlar:
- PHP kullanan sistemleri belirlemek; desteklenen dallarda 8.5.12, 8.4.27, 8.3.36 ya da 8.2.35 sürümüne veya dağıtımın yamalı paketine geçmek.
- Resmi güncelleme almayan PHP 8.1 ve öncesi sürümleri desteklenen bir sürüme yükseltmek.
- Güncelliğini yitirmiş bileşenleri tespit etmek ve yönetim arayüzlerini yalnızca yetkili IP adreslerine açmak.
Kaynaklar
- Anadolu Ajansı — e-Devlet Kapısı'ndaki güvenlik incelemesi tamamlandı, 22 Ekim 2026
- TGRT Haber (İHA) — Siber Güvenlik Başkanlığından e-Devlet açıklaması: Hizmetler kesintisiz sürüyor, 22 Ekim 2026
- T.C. Siber Güvenlik Başkanlığı — TR-26-1372 PHP Programlama Dili Güvenlik Bildirimi, 21 Ekim 2026
- PHP — Security advisory ve 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 sürümleri, 21 Ekim 2026
Kapak (temsili): e-Devlet Kapısı (turkiye.gov.tr) ana sayfasının ekran görüntüsü, 22 Ekim 2026 (1200×675 kırpıldı).
