Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, PHP yazılım altyapısındaki iki güvenlik açığına karşı kamu kurumları başta olmak üzere Türkiye genelindeki sistemlerde güvenlik taraması başlattı. Başkanlık, Siber Olaylara Müdahale Ekipleri (SOME) İletişim Platformu üzerinden tüm kurum ve kuruluşlar ile kritik altyapılara acil güvenlik duyurusu gönderdi. Açıklama 21 Ekim 2026 akşamı Anadolu Ajansı aracılığıyla paylaşıldı. Başkanlık, PHP2Shell olarak adlandırılan CVE-2026-109618 ve CVE-2026-109619 açıklarının yüksek risk taşıdığını belirtti. Bu açıklar, belirli koşullarda saldırganın kimlik doğrulaması olmadan sunucuda uzaktan kod çalıştırmasına imkân verebiliyor.
Başkanlık açıkları aynı gün 16:44 TSİ'de TR-26-1372 bildirimiyle duyurmuştu. PHP de 21 Ekim 2026'da 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleriyle iki açığı kapattı. SGH, bildirimi ve PHP'nin yamalarını daha önce ayrıntılı yazmıştı.
Kurumlardan ne istendi
Açıklamaya göre ulusal ölçekteki taramaların amacı, tehdidi erken tespit etmek ve olası etkileri sınırlandırmak. İlgili kurumlara acil tedbir alınması için bildirim gönderiliyor. SOME İletişim Platformu üzerinden giden duyuruda, alınması gereken teknik ve idari tedbirler de paylaşıldı.
Başkanlık, kamu kurumları ve özel sektör kuruluşları başta olmak üzere tüm sistem yöneticilerinden internete açık bilişim altyapılarını gözden geçirmelerini ve yayımlanan güvenlik güncellemelerini ivedilikle uygulamalarını istedi. Açıklamada sistemleri güncel tutmanın, gerekmeyen dış erişimleri sınırlandırmanın ve gerekli servislerde ek koruma uygulamanın önemli olduğu belirtildi.
Başkanlık, kurumlara TR-26-1372 bildirimindeki şu tedbirleri gecikmeden uygulamalarını tavsiye etti:
- Üreticinin yayımladığı güvenlik güncellemeleri doğrultusunda etkilenen sistemleri tespit ederek gecikmeden güvenli sürümlere yükseltmek.
- Yönetim arayüzlerine ve kritik PHP servislerine dış erişimi güvenlik duvarı kurallarıyla yalnızca güvenilir ve yetkili IP adreslerine sınırlandırmak.
- Yurt dışı erişim ihtiyacı bulunmayan sistemleri ivedilikle uluslararası trafiğe kapatmak.
Dünyada neler oldu
Anadolu Ajansı'nın derlediğine göre ABD Federal Soruşturma Bürosu (FBI) ve Ulusal Güvenlik Ajansı (NSA), PHP'deki iki açık için uyarı yaptı. FBI, sitelerini hemen güncelleyemeyenlere siteleri çevrim dışı almalarını tavsiye etti.
AA'nın aktardığına göre Hollanda Başbakanı Rob Jetten, vatandaşların devlet hizmetlerine erişmek için kullandığı DigiD ve MijnOverheid gibi sitelerin geçici olarak erişime kapatıldığını açıkladı. Finlandiya Ulusal Siber Güvenlik Merkezi, bazı devlet sitelerinin öncelikli güvenlik tedbiri olarak devre dışı bırakıldığını belirtti. Norveç'te Dijitalleşme Müdürlüğü ve Feide gibi sitelerin devre dışı kaldığı bildirildi. Japonya Sağlık, Çalışma ve Refah Bakanlığı bir bilgi paylaşım sitesini önlem olarak geçici süreyle askıya aldı. Danimarka'nın siber güvenlik kurumu ise güncelleme yapamayanlara sistemlerini geçici olarak çevrim dışı bırakmalarını tavsiye etti.
Türkiye açısından durum
Başkanlığın başlattığı taramanın kapsamı, taranan toplam sistem ya da kurum sayısı, tespit edilen savunmasız sistem adedi ve Türkiye'de geçici olarak kapatılan internet sitesi bulunup bulunmadığı açıklanmadı. Türkiye'de bir kurumun bu açıklar üzerinden saldırıya uğradığına dair resmi bir bilgi de yok. Açıkların saldırılarda kullanıldığı resmi olarak doğrulanmadı. İki açık, 22 Ekim 2026 00:00 TSİ itibarıyla ABD siber güvenlik ajansı CISA'nın bilinen istismar edilmiş açıklar listesinde (KEV) yer almıyor.
Site ve sunucu yöneticileri için adımlar
PHP ile site ya da uygulama çalıştıranların önce kullandıkları sürümü öğrenmesi gerekiyor. Sürüm, sunucuda php -v komutuyla görülebilir. Ardından PHP 8.5.12, 8.4.27, 8.3.36 ya da 8.2.35 sürümüne veya kullanılan Linux dağıtımının yamalı paketine geçilmeli.
Paylaşımlı hosting kullananlar, barındırma firmasından PHP sürümünün güncellendiğini teyit etmeli. PHP 8.1 ve daha eski sürümler PHP projesinden güncelleme almıyor; bu sürümlerdeki sistemlerin desteklenen bir sürüme taşınması gerekiyor.
Kaynaklar
- Anadolu Ajansı — Siber Güvenlik Başkanlığınca kritik güvenlik zafiyetlerine karşı ulusal ölçekte tarama başlatıldı, 21 Ekim 2026
- T.C. Siber Güvenlik Başkanlığı — TR-26-1372 PHP Programlama Dili Güvenlik Bildirimi, 21 Ekim 2026
- PHP — Security advisory: Critical remote code execution vulnerabilities, update now, 21 Ekim 2026
- Anadolu Ajansı — Dünya çapında PHP kaynaklı güvenlik açığının giderilmesi için çok sayıda internet sitesi erişime kapatıldı, 21 Ekim 2026
Kapak fotoğrafı (temsili): Ankara'daki Cumhurbaşkanlığı Külliyesi, Metuboy / Wikimedia Commons, CC BY-SA 4.0 (1200×675 kırpıldı). Siber Güvenlik Başkanlığı Cumhurbaşkanlığına bağlıdır; fotoğraf Başkanlığın kendi binasını göstermez.
