Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, dünya genelinde yaygın olarak kullanılan PHP yazılım altyapısında kritik güvenlik açıklarının tespit edildiğini; söz konusu zafiyetlerin oluşturabileceği riskler nedeniyle ilgili kurum ve kuruluşlara acil güvenlik bildirimlerinin iletildiğini duyurdu.

Siber Güvenlik Başkanlığından yapılan açıklamada, dünya genelinde yaygın olarak kullanılan PHP yazılım altyapısında kritik güvenlik açıklarının tespit edildiği belirtildi.

Açıklamada, Başkanlığın, söz konusu zafiyetlerin oluşturabileceği risklerin erken tespiti ve olası etkilerinin sınırlandırılması amacıyla ulusal ölçekte güvenlik taramalarını başlattığı, ilgili kurum ve kuruluşlara acil güvenlik bildirimlerini ilettiği aktarıldı.

Kamu kurumlarının, kritik altyapı işletmecilerinin ve özel sektör kuruluşlarının sistemlerini gözden geçirerek gerekli güvenlik güncellemelerini ivedilikle uygulamalarının önem taşıdığı vurgulanan açıklamada, "Dijital altyapılarımızın güvenliği ve kritik hizmetlerin sürekliliği için ulusal düzeyde koordinasyon ve önleyici güvenlik çalışmalarımız sürmektedir." denildi.

Siber Güvenlik Başkanlığının, internet sitesinde yer alan uyarı şöyle:

"Açık kaynaklarda yer alan bilgilere göre, PHP programlama dilini etkileyen iki kritik güvenlik zafiyetinin bulunduğu ve söz konusu zafiyetlerin uzaktan kod çalıştırılmasına (RCE) olanak tanıyabileceği bildirilmektedir. Güvenlik araştırmacıları tarafından 'php2shell' olarak adlandırılan zafiyetlere ilişkin ayrıntıların, PHP güvenlik ekibinin yayımlayacağı resmî güvenlik duyurusuyla açıklanması beklenmektedir.

Etki

Zafiyetlerin başarılı şekilde istismar edilmesi durumunda, etkilenen PHP tabanlı uygulamaların çalıştığı sistemlerde yetkisiz kod çalıştırılması ve uygulamanın sahip olduğu yetkiler ölçüsünde sistem kaynaklarına erişim sağlanması riski bulunmaktadır. Bu durumun, uygulama verilerinin gizliliği ve bütünlüğü ile hizmetlerin sürekliliği üzerinde olumsuz etkiler oluşturabileceği değerlendirilmektedir. CVE kodları şu şekildedir:

CVE-2026-109618 ve CVE-2026-109619

Alınması gereken önlemler ve çözüm önerileri

Kurum ve kuruluşların PHP tabanlı uygulamalarının güvenliğinin sağlanması amacıyla;

- Üreticinin resmî güvenlik güncellemesinin yayımlanmasını takiben etkilenen sistemlerin belirlenmesi ve ilgili sistemlerin üretici tarafından sağlanan güvenli sürümlere gecikmeksizin yükseltilmesi.

- Yönetim arayüzlerine ve kritik PHP servislerine yönelik dış erişimlerin güvenlik duvarı (Firewall/ACL) kuralları ile yalnızca güvenilir/yetkili IP adresleriyle sınırlandırılması.

- Yurt dışı erişim ihtiyacı bulunmayan sistemlerin ivedilikle uluslararası trafiğe kapatılması gerekmektedir." (İLKHA)