Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, yaptığı açıklama ile yazılım alt yapısındaki güvenlik açığı ve alınabilecek önlemlerle ilgili şu bilgileri verdi;
ULUSAL ÖLÇEKTE GÜVENLİK TARAMASI BAŞLATILDI
“Dünya genelinde yaygın olarak kullanılan PHP yazılım altyapısında kritik güvenlik açıkları tespit edilmiştir. Başkanlığımız, söz konusu zafiyetlerin oluşturabileceği risklerin erken tespiti ve olası etkilerinin sınırlandırılması amacıyla ulusal ölçekte güvenlik taramalarını başlatmış, ilgili kurum ve kuruluşlara acil güvenlik bildirimlerini iletmiştir.
GÖNDEN GEÇİRSİNLER UYARISI
Kamu kurumlarımızın, kritik altyapı işletmecilerimizin ve özel sektör kuruluşlarımızın sistemlerini gözden geçirerek gerekli güvenlik güncellemelerini ivedilikle uygulamaları önem taşımaktadır. Dijital altyapılarımızın güvenliği ve kritik hizmetlerin sürekliliği için ulusal düzeyde koordinasyon ve önleyici güvenlik çalışmalarımız sürmektedir.
İKİ KRİTİK GÜVENLİK AÇIĞI
Açık kaynaklarda yer alan bilgilere göre, PHP programlama dilini etkileyen iki kritik güvenlik zafiyetinin bulunduğu ve söz konusu zafiyetlerin uzaktan kod çalıştırılmasına (RCE) olanak tanıyabileceği bildirilmektedir. Güvenlik araştırmacıları tarafından “php2shell” olarak adlandırılan zafiyetlere ilişkin ayrıntıların, PHP güvenlik ekibinin yayımlayacağı resmî güvenlik duyurusuyla açıklanması beklenmektedir.
OLASI ETKİSİNE DİKKAT ÇEKİLDİ
Zafiyetlerin başarılı şekilde istismar edilmesi durumunda, etkilenen PHP tabanlı uygulamaların çalıştığı sistemlerde yetkisiz kod çalıştırılması ve uygulamanın sahip olduğu yetkiler ölçüsünde sistem kaynaklarına erişim sağlanması riski bulunmaktadır. Bu durumun, uygulama verilerinin gizliliği ve bütünlüğü ile hizmetlerin sürekliliği üzerinde olumsuz etkiler oluşturabileceği değerlendirilmektedir. CVE kodları şu şekildedir: CVE-2026-109618 ve CVE-2026-109619
ALINMASI GEREKEN ÖNLEMLER VE ÇÖZÜM ÖNERİLERİ
Kurum ve kuruluşların PHP tabanlı uygulamalarının güvenliğinin sağlanması amacıyla;
- Üreticinin resmî güvenlik güncellemesinin yayımlanmasını takiben etkilenen sistemlerin belirlenmesi ve ilgili sistemlerin üretici tarafından sağlanan güvenli sürümlere gecikmeksizin yükseltilmesi,
- Yönetim arayüzlerine ve kritik PHP servislerine yönelik dış erişimlerin güvenlik duvarı (Firewall/ACL) kuralları ile yalnızca güvenilir/yetkili IP adresleriyle sınırlandırılması,
- Yurt dışı erişim ihtiyacı bulunmayan sistemlerin ivedilikle uluslararası trafiğe kapatılması gerekmektedir.”
