Siber Güvenlik Başkanlığı, PHP programlama dilinde tespit edilen iki kritik güvenlik açığı nedeniyle ulusal ölçekte güvenlik taramalarının başlatıldığını açıkladı. Başkanlık, olası risklerin erken tespit edilmesi ve etkilerinin sınırlandırılması amacıyla ilgili kurum ve kuruluşlara acil güvenlik bildirimlerinin iletildiğini bildirdi.
Başkanlığın 21 Ekim 2026 tarihli TR-26-1372 kodlu güvenlik bildiriminde, PHP altyapısını etkileyen iki kritik zafiyetin uzaktan kod çalıştırılmasına (RCE) olanak tanıyabileceğine ilişkin bilgilerin açık kaynaklarda yer aldığı belirtildi. Güvenlik araştırmacıları tarafından “php2shell” olarak adlandırılan zafiyetlere ilişkin ayrıntıların, PHP güvenlik ekibinin yayımlayacağı resmî duyuruyla açıklanmasının beklendiği kaydedildi.
Yetkisiz kod çalıştırma riski bulunuyor
Güvenlik açıklarının başarılı şekilde istismar edilmesi durumunda, etkilenen PHP tabanlı uygulamaların çalıştığı sistemlerde yetkisiz kod çalıştırılabileceği belirtildi. Ayrıca uygulamaların sahip olduğu yetkiler ölçüsünde sistem kaynaklarına erişim sağlanabileceği ifade edildi.
Başkanlık, bu durumun uygulamalardaki verilerin gizliliği ve bütünlüğü ile hizmetlerin kesintisiz sürdürülmesi üzerinde olumsuz etkiler oluşturabileceği değerlendirmesinde bulundu.
Kurumlara acil güvenlik tedbirleri çağrısı
Siber Güvenlik Başkanlığı, kamu kurumlarının, kritik altyapı işletmecilerinin ve özel sektör kuruluşlarının sistemlerini gözden geçirerek gerekli güvenlik önlemlerini gecikmeden uygulamalarının önem taşıdığını vurguladı.
Duyuruda, PHP tabanlı uygulamaların güvenliğinin sağlanması amacıyla kurum ve kuruluşların uygulaması gereken teknik tedbirlere de yer verildi.
Bu kapsamda, üreticinin resmî güvenlik güncellemesini yayımlamasının ardından etkilenen sistemlerin belirlenmesi ve ilgili sistemlerin güvenli sürümlere yükseltilmesi istendi.
Yönetim arayüzleri ve kritik PHP servislerine yönelik dış erişimlerin güvenlik duvarı kurallarıyla yalnızca güvenilir ve yetkili IP adresleriyle sınırlandırılması gerektiği belirtildi. Yurt dışından erişim ihtiyacı bulunmayan sistemlerin ise uluslararası trafiğe ivedilikle kapatılması tavsiye edildi.
Ulusal ölçekte koordinasyon sürüyor
Başkanlık, dijital altyapıların güvenliğinin sağlanması ve kritik hizmetlerin sürekliliğinin korunması amacıyla ulusal düzeyde koordinasyon ve önleyici güvenlik çalışmalarının sürdüğünü bildirdi.
Açıklamada, tespit edilen zafiyetlerin oluşturabileceği risklerin erken belirlenmesi ve olası etkilerin sınırlandırılması için kurumların gerekli güvenlik güncellemelerini uygulamasının önemine dikkat çekildi.
Alınması gereken önlemler ve çözüm önerileri
Siber Güvenlik Başkanlığı, PHP tabanlı uygulamaların güvenliğinin sağlanması için kurum ve kuruluşların bir dizi teknik tedbiri uygulaması gerektiğini bildirdi.
Bu kapsamda, üreticinin resmî güvenlik güncellemesini yayımlamasının ardından etkilenen sistemlerin belirlenmesi ve ilgili sistemlerin güvenli sürümlere gecikmeksizin yükseltilmesi istendi.
Yönetim arayüzlerine ve kritik PHP servislerine yönelik dış erişimlerin güvenlik duvarı kurallarıyla yalnızca güvenilir ve yetkili IP adresleriyle sınırlandırılması gerektiği vurgulandı. Ayrıca yurt dışından erişim ihtiyacı bulunmayan sistemlerin uluslararası trafiğe ivedilikle kapatılması tavsiye edildi.
Başkanlık, bu önlemlerin dijital altyapıların güvenliğinin sağlanması ve kritik hizmetlerin sürekliliğinin korunması açısından önem taşıdığına dikkat çekti.
