Nöbetçi Eczaneler
Siber Güvenlik Başkanlığı, PHP programlama dilini etkileyen iki kritik güvenlik açığı nedeniyle kurum ve kuruluşları uyardı. 21 Ekim 2026 tarihli TR-26-1372 kodlu güvenlik bildiriminde, “php2shell” olarak adlandırılan zafiyetlerin uzaktan kod çalıştırılmasına (RCE) imkân tanıyabileceği belirtildi.
CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlanan açıkların başarıyla istismar edilmesi halinde, PHP tabanlı uygulamaların çalıştığı sistemlerde yetkisiz kod çalıştırılabileceği bildirildi. Olası bir saldırının, uygulamaların sahip olduğu yetkiler ölçüsünde sistem kaynaklarına erişim sağlayabileceği; veri güvenliğini ve hizmet sürekliliğini riske atabileceği değerlendirildi.
Ulusal çapta güvenlik taramaları başlatıldı
Siber Güvenlik Başkanlığı, olası risklerin erken tespit edilmesi ve etkilerinin sınırlandırılması amacıyla ulusal ölçekte güvenlik taramalarının başlatıldığını açıkladı. Kamu kurumlarına, kritik altyapı işletmecilerine ve özel sektör kuruluşlarına güvenlik bildirimlerinin iletildiği belirtilirken sistemlerin gözden geçirilmesi ve gerekli önlemlerin gecikmeden alınması istendi.
Açıklamada, dijital altyapıların korunması ve kritik hizmetlerin kesintisiz sürdürülmesi için koordinasyon ve önleyici güvenlik çalışmalarının devam ettiği kaydedildi.
Kurumlara 3 kritik güvenlik önlemi
Güvenlik bildiriminde, PHP tabanlı sistemlerde riskleri azaltmak için üç temel önlem öne çıktı:
1. Güvenlik güncellemelerini uygulayın: Etkilenen sistemler belirlenmeli ve üreticinin resmi güvenlik güncellemesi yayımlandığında sistemler güvenli sürümlere yükseltilmeli.
2. Dış erişimleri sınırlandırın: Yönetim arayüzleri ve kritik PHP servislerine erişim, güvenlik duvarı ve erişim kontrol listeleri (ACL) aracılığıyla yalnızca yetkili ve güvenilir IP adresleriyle kısıtlanmalı.
3. Gereksiz uluslararası trafiği kapatın: Yurt dışından erişim ihtiyacı bulunmayan sistemler, olası saldırı riskini azaltmak amacıyla uluslararası trafiğe kapatılmalı.
Resmi güvenlik duyuruları takip edilmeli
Bildirimde, PHP’nin resmi güvenlik duyuruları, desteklenen sürümleri ve değişiklik kayıtları teknik kaynaklar arasında gösterildi. Kurum ve kuruluşların, güvenlik açıklarından etkilenip etkilenmediklerini belirlemek için kullandıkları PHP sürümlerini ve uygulama yapılandırmalarını kontrol etmeleri gerektiği vurgulandı.
Üretici tarafından yayımlanacak resmi açıklamaların takip edilmesi ve güvenlik güncellemelerinin gecikmeden uygulanması, olası istismar risklerinin azaltılması açısından önem taşıyor.