Siber Güvenlik Başkanlığının 21 Ekim 2026 tarihli TR-26-1372 kodlu güvenlik bildiriminde, PHP programlama dilini etkileyen iki kritik güvenlik zafiyetine ilişkin uyarıda bulunuldu.
Açık kaynaklarda yer alan bilgilere dayandırılan bildirimde, güvenlik araştırmacılarının “php2shell” olarak adlandırdığı zafiyetlerin uzaktan kod çalıştırılmasına (RCE) olanak tanıyabileceği belirtildi. Zafiyetlere ilişkin ayrıntıların PHP güvenlik ekibinin yayımlayacağı resmi güvenlik duyurusuyla açıklanmasının beklendiği kaydedildi.
CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlanan güvenlik açıklarının başarılı şekilde istismar edilmesi durumunda, etkilenen PHP tabanlı uygulamaların çalıştığı sistemlerde yetkisiz kod çalıştırılabileceği bildirildi.
Bildirimde, saldırganların söz konusu zafiyetlerden yararlanması halinde uygulamaların sahip olduğu yetkiler ölçüsünde sistem kaynaklarına erişim sağlayabileceği ifade edildi.
Bu durumun uygulama verilerinin gizliliği ve bütünlüğü üzerinde olumsuz etkiler oluşturabileceği, ayrıca hizmetlerin sürekliliğini tehlikeye atabileceği değerlendirildi.
PHP güvenlik açığı nedir, nasıl kapatılır? Kritik güncelleme yayımlandı: Siber Güvenlik Başkanlığından acil uyarı yapıldı
PHP güvenlik açığı nedir, nasıl kapatılır? PHP2Shell alarmı: Milyonlarca site risk altında mı?
Ulusal çapta güvenlik taramaları başlatıldı
Siber Güvenlik Başkanlığı, zafiyetlerin oluşturabileceği risklerin erken tespit edilmesi ve olası etkilerinin sınırlandırılması amacıyla ulusal ölçekte güvenlik taramalarının başlatıldığını duyurdu.
Başkanlık tarafından yapılan açıklamada, ilgili kurum ve kuruluşlara acil güvenlik bildirimlerinin iletildiği belirtilerek kamu kurumlarının, kritik altyapı işletmecilerinin ve özel sektör kuruluşlarının sistemlerini gözden geçirmeleri ve gerekli güvenlik güncellemelerini gecikmeden uygulamaları gerektiği vurgulandı.
Açıklamada, dijital altyapıların güvenliğinin sağlanması ve kritik hizmetlerin sürekliliğinin korunması amacıyla ulusal düzeyde koordinasyon ve önleyici güvenlik çalışmalarının sürdüğü kaydedildi.
Kurumlara kritik güvenlik önlemleri çağrısı
Güvenlik bildiriminde, PHP tabanlı uygulamalarda risklerin azaltılması için kurum ve kuruluşların uygulaması gereken önlemler de sıralandı.
Buna göre, üreticinin resmi güvenlik güncellemesini yayımlamasının ardından etkilenen sistemlerin belirlenmesi ve bu sistemlerin üretici tarafından sağlanan güvenli sürümlere gecikmeksizin yükseltilmesi gerekiyor.
Yönetim arayüzlerine ve kritik PHP servislerine yönelik dış erişimlerin güvenlik duvarı ve erişim kontrol listesi (ACL) kurallarıyla yalnızca güvenilir ve yetkili IP adresleriyle sınırlandırılması öneriliyor.
Ayrıca, yurt dışından erişim ihtiyacı bulunmayan sistemlerin uluslararası trafiğe ivedilikle kapatılması gerektiği bildiriliyor.
Başkanlığın bildiriminde, PHP'nin resmi güvenlik duyuruları, desteklenen sürümleri ve değişiklik kayıtları teknik kaynaklar arasında gösterildi. The Hacker News'in konuya ilişkin haberi de kaynaklar arasında yer aldı.
Kurum ve kuruluşların, PHP güvenlik ekibinin yayımlayacağı resmi duyuruları takip ederek etkilenen sistemleri belirlemesi ve gerekli güncellemeleri uygulaması önem taşıyor.
