PHP açıkları dünya genelinde alarm yarattı

PHP’de tespit edilen iki kritik güvenlik açığı, 21 Ekim’den itibaren dünya genelinde internet altyapısına yönelik tehditleri artırdı. Yazılım geliştiricilerinin güvenlik güncellemelerini yayımlamasına rağmen bazı kuruluşlar, sistemlerinin güvenliğini doğrulayana kadar internet sitelerini veya belirli dijital hizmetlerini erişime kapattı.

Gelişmelerin 22 Ekim’de Asya’ya da yayılmasıyla Japonya, Çin ve Güney Kore’de kamu kurumları ile finans kuruluşları için ek güvenlik önlemleri devreye alındı.

Saldırı girişimleri saatler içinde milyonlara ulaştı

İnternet altyapısı ve siber güvenlik hizmetleri sağlayan Cloudflare’ın ağında tespit edilen saldırı trafiği, güvenlik açıklarının kamuoyuna duyurulmasının ardından hızla yükseldi.

Cloudflare Üst Yöneticisi Matthew Prince’in paylaştığı verilere göre, açıklama öncesindeki 10 saat boyunca binlerle ifade edilen açıkları kullanma girişimleri, duyurunun ardından 45 dakika içinde on binler seviyesine çıktı. İki saat içerisinde yüz binlere ulaşan girişimlerin toplamı daha sonra milyonları buldu.

Ancak bu rakam, milyonlarca internet sitesinin saldırıya uğradığı veya ele geçirildiği anlamına gelmiyor. Ölçülen değer, saldırganların söz konusu güvenlik açıklarından yararlanmak amacıyla yaptığı denemelerin sayısını ifade ediyor. Aynı hedefe yönelik birden fazla girişim gerçekleştirilebildiği için saldırı denemeleri ile etkilenen kuruluşların sayısını birbirinden ayırmak gerekiyor.

Güvenlik açıklarının duyurulmasının ardından saldırı trafiğinin hızla artması, yazılım üreticileri ile sistem yöneticileri arasında zamana karşı bir yarış başlattı. Kuruluşlar sistemlerini güncellerken, bazıları da riski azaltmak amacıyla internet üzerinden sundukları hizmetlere geçici erişim kısıtlamaları getirdi.

Avrupa’da kamu ve sağlık siteleri geçici olarak kapatıldı

Avrupa’da en kapsamlı önlemlerden biri Hollanda’da alındı. Ülkenin ulusal siber güvenlik merkezi de dahil olmak üzere çeşitli kamu kurumları, güvenlik riskini azaltmak amacıyla bazı internet sitelerini geçici olarak erişime kapattı.

Kamu hizmetleri portalı Overheid.nl, Rotterdam Limanı ve bazı hastanelerin internet siteleri de önlem alan kuruluşlar arasında yer aldı.

Finlandiya’da devlet bilişim hizmetlerinden sorumlu kuruluş, kamuya açık bazı ağ hizmetlerini geçici olarak durdurdu. Fransa İçişleri Bakanlığı internet sitelerini bakım durumuna alırken, Danimarka’da belediyelere teknoloji hizmetleri sağlayan kuruluş bazı dijital hizmetleri, ülke genelinde kullanılan okul iletişim sistemi de dahil olmak üzere, askıya aldı.

İngiltere’de de bazı yerel yönetimlerin internet sitelerinde geçici kesintiler yaşandı. Oxford ve Edinburgh belediyeleri, güvenlik gerekçesiyle çevrim içi hizmetlerinde önlem alan kuruluşlar arasında gösterildi.

Yetkililerin aldığı önlemler, hastanelerde sağlık hizmetlerinin tamamen durduğu anlamına gelmiyor. Bazı durumlarda yalnızca kamuya açık internet sayfaları veya belirli çevrim içi işlemler erişime kapatıldı.

Japonya’da bankalar ve kamu kurumları tedbir aldı

Avrupa’da başlayan güvenlik önlemleri 22 Ekim’de Asya’ya yayıldı.

Japonya’nın büyük finans kuruluşlarından Mitsubishi UFJ Financial Group, acil güvenlik çalışmaları nedeniyle bazı internet hizmetlerini geçici olarak durdurdu. Diğer finans kuruluşlarında da çevrim içi işlemlerin belirli bölümlerinde kesintiler yaşandı.

Japonya Maliye Bakanlığı da bazı internet sayfaları ve dijital hizmetleri geçici olarak kullanıma kapattı.

Japonya Başbakanı Sanae Takaichi, internet sitesi yöneticilerine kullandıkları sistemlerde PHP bulunup bulunmadığını kontrol etmeleri ve gerekli güvenlik güncellemelerini uygulamaları çağrısında bulundu.

Çin Sanayi ve Bilgi Teknolojileri Bakanlığı ise kurumlara sistemlerini incelemeleri ve güvenli PHP sürümlerine geçmeleri yönünde uyarı yaptı. Kuruluşlardan güvenlik izleme faaliyetlerini artırmaları, gerekli durumlarda kullanıcı hesapları ile erişim anahtarlarını yenilemeleri istendi.

Güney Kore’de de özel sektör için siber güvenlik uyarı seviyesi yükseltildi. Şirketler ve kritik altyapı kuruluşları, PHP kullanan sistemlerini belirleyerek güvenlik kontrollerini hızlandırmaları konusunda uyarıldı.

İki kritik açığın risk puanı 9,2

Küresel güvenlik alarmının merkezinde PHP’de tespit edilen CVE-2026-109618 ve CVE-2026-109619 kodlu iki güvenlik açığı bulunuyor.

Her iki açık da kullanılan değerlendirme sisteminde 10 üzerinden 9,2 risk puanı aldı. Belirli koşullarda saldırganların kullanıcı hesabına giriş yapmadan sunucularda zararlı kod çalıştırmasına imkan verebilmesi, açıkların kritik seviyede değerlendirilmesine yol açtı.

PHP, internet sitelerinin arka planda çalışmasını sağlayan ve kullanıcı işlemlerini sunucu tarafında işleyen bir programlama dili olarak kullanılıyor. WordPress dahil çok sayıda içerik yönetim sistemi ve internet uygulamasının PHP altyapısından yararlanması, söz konusu açıkların etkisini genişletiyor.

Güvenlik güncellemeleri yayımlandı

PHP geliştiricileri, 21 Ekim’de söz konusu güvenlik açıklarını gidermek amacıyla yeni sürümleri yayımladı.

Desteklenen sürümler için 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 numaralı güvenlik güncellemeleri kullanıma sunuldu. Geliştiriciler, geçici koruma yöntemlerinin tek başına yeterli olmadığına dikkat çekerek kullanılan yazılımın uygun güvenli sürüme yükseltilmesi gerektiğini belirtti.

Avrupa Birliği’nin siber güvenlik müdahale birimi CERT-EU da internet sitesi yöneticilerine risk altındaki sistemlerini belirlemeleri ve güncellemeleri gecikmeden uygulamaları çağrısında bulundu.

Güncellemenin hemen uygulanamadığı durumlarda ise internete açık uygulamaların geçici olarak dış erişime kapatılması önerildi. Avrupa’da bazı internet sitelerinin erişime kapatılmasının temel nedenlerinden biri de bu önleyici yaklaşım oldu.

Türkiye’de etkilenen kurumlara ilişkin toplu bilanço yok

Türkiye’deki kamu kurumları, şirketler ve internet sitesi işletmecileri açısından da güvenlik açığının yakından takip edilmesi gerekiyor.

PHP kullanan bir internet sitesinin bu nedenle mutlaka saldırıya uğradığı anlamına gelmediği belirtilirken, güncellenmemiş sistemlerin risk altında kalabileceği değerlendiriliyor.

Türkiye’de söz konusu güvenlik açıkları nedeniyle kaç kurumun etkilendiğine veya kaç internet hizmetinin durdurulduğuna ilişkin doğrulanmış toplu bir bilanço bulunmuyor.

Küresel ölçekte ise önümüzdeki süreçte milyonlarca saldırı girişiminin ne kadarının başarılı olduğu ve kuruluşların güvenlik güncellemelerini ne ölçüde tamamladığı izlenecek. Şu aşamada kesinleşen gelişme, yaygın kullanılan PHP altyapısındaki iki kritik açığın saldırı girişimlerinde hızlı artışa ve farklı ülkelerde kamu ile özel sektörün bazı dijital hizmetlerini tedbir amacıyla durdurmasına yol açması.