Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, yaygın kullanılan PHP yazılım altyapısında belirlenen kritik güvenlik açıklarına karşı ulusal çapta önleyici çalışmaları devreye aldı. Kamu kurumları ve kritik altyapılar başta olmak üzere Türkiye genelindeki sistemler için güvenlik taramaları başlatılırken, kurum ve kuruluşlara acil tedbirlerin uygulanması çağrısı yapıldı.
PHP2SHELL AÇIKLARI UZAKTAN KOD ÇALIŞTIRMA RİSKİ TAŞIYOR
İnternet siteleri ve dijital uygulamaların altyapısında yaygın olarak kullanılan PHP yazılımında tespit edilen güvenlik açıkları, bilişim sistemlerinin güvenliği açısından kritik bir tehdit oluşturuyor. PHP2Shell adıyla anılan açıkların, belirli koşullarda saldırganların kullanıcı kimlik doğrulaması olmadan uzaktan kod çalıştırmasına ve hassas verilere erişmesine imkân tanıyabildiği bildirildi.
Söz konusu güvenlik zafiyetleri, özellikle internete açık sunucular ve uygulamalar açısından önem taşıyor. Açıkların istismar edilmesi durumunda sistemlere yetkisiz erişim sağlanması, hassas verilerin tehlikeye girmesi ve dijital hizmetlerin kesintiye uğraması gibi sonuçlar ortaya çıkabiliyor.
PHP altyapısını ilgilendiren iki kritik güvenlik açığı, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlandı. Bu açıklar, PHP'nin istekleri işlerken kullandığı bellek yönetimi ve işlem sonlandırma süreçlerindeki sorunlarla ilişkilendiriliyor. Güvenlik güncellemeleriyle giderilmesi gereken zafiyetler, PHP tabanlı internet uygulamalarının yanı sıra bu yazılımı bünyesinde barındıran sistemleri de ilgilendiriyor.
ULUSAL ÖLÇEKTE GÜVENLİK TARAMALARI BAŞLATILDI
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, olası saldırıların erken aşamada tespit edilmesi ve güvenlik açıklarının etkilerinin sınırlandırılması amacıyla ülke genelinde önleyici çalışmaları başlattı. Bu kapsamda Siber Olaylara Müdahale Ekipleri (SOME) İletişim Platformu üzerinden kamu kurumlarına, özel sektör kuruluşlarına ve kritik altyapı işletmecilerine güvenlik duyuruları iletildi.
Bildirimlerde, sistemlerin kontrol edilmesi ve belirlenen güvenlik açıklarına karşı gerekli teknik ve idari önlemlerin alınması istendi. Çalışmaların temel hedefleri arasında savunmasız sistemlerin belirlenmesi, güvenlik güncellemelerinin uygulanmasının sağlanması ve olası siber olayların etkilerinin azaltılması bulunuyor.
KURUMLARA GÜVENLİK GÜNCELLEMELERİNİ UYGULAMA ÇAĞRISI
Siber Güvenlik Başkanlığı, sistem yöneticilerinden internete açık bilişim altyapılarını gözden geçirmelerini ve yayımlanan güvenlik güncellemelerini vakit kaybetmeden uygulamalarını istedi.
Özellikle PHP yazılımının güncel sürümlerde çalıştırılması, dış ağlardan gelen gereksiz erişimlerin sınırlandırılması ve ihtiyaç duyulmayan servislerin kapatılması önem taşıyor. Bunun yanında sistemlerin düzenli olarak izlenmesi, erişim yetkilerinin kontrol edilmesi ve ek koruma önlemlerinin uygulanması da güvenlik çalışmalarının önemli bir parçasını oluşturuyor.
Güvenlik güncellemelerinin yalnızca internet sitesinin yazılımına değil, uygulamaların çalıştığı PHP altyapısına da uygulanması gerekiyor. Sunucu veya barındırma hizmeti dışarıdan sağlanıyorsa güncelleme sürecinin hizmet sağlayıcıyla birlikte yürütülmesi önem taşıyor.
PHP KULLANAN SİSTEMLER HANGİ RİSKLERLE KARŞILAŞABİLİR?
Açık kaynaklı bir sunucu tarafı programlama dili olan PHP, dinamik internet sitelerinin ve çok sayıda web uygulamasının çalışmasında kullanılıyor. Bu nedenle PHP'nin çalışma altyapısında ortaya çıkan kritik bir güvenlik sorunu, yalnızca tek bir internet sitesini değil, etkilenen sürümleri kullanan farklı uygulama ve sunucuları da ilgilendirebiliyor.
Güvenlik açıklarının istismar edilmesi, saldırganların etkilenen sistemlerde yetkisiz işlemler gerçekleştirmesine, hassas bilgilere ulaşmasına veya hizmetlerin işleyişini bozmasına yol açabiliyor. Ancak oluşabilecek etkiler, kullanılan PHP sürümüne, sunucu yapılandırmasına ve sistemin çalışma koşullarına göre değişebiliyor.
Güvenlik ekipleri, bu tür tehditlere karşı yalnızca uygulama kodlarının kontrol edilmesinin yeterli olmayabileceğine dikkat çekiyor. Sistemlerin çalıştırdığı yazılım bileşenlerinin güncel tutulması ve güvenlik duyurularının takip edilmesi de gerekiyor.
GÜVENLİK TEDBİRLERİ GECİKTİRİLMEDEN UYGULANMALI
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, kamu kurumları ve özel sektör kuruluşları başta olmak üzere ilgili tüm sistem yöneticilerine, bildirilen tedbirleri gecikmeden hayata geçirmeleri çağrısında bulundu. PHP2Shell güvenlik açıklarına ilişkin ayrıntılar ve alınması gereken önlemler için Başkanlığın yayımladığı güvenlik bildirimi incelenebiliyor.
Güvenlik bildirimi: https://siberguvenlik.gov.tr/guvenlik-bildirimleri/detay/tr-26-1372
