PHP açığı dünyayı alarma geçirdi! Banka hesapları, sosyal medya, e-devlet ve diğer dijital hizmetler için hangi önlemler alınmalı?

Dünya genelinde çok sayıda internet sitesinin altyapısında kullanılan PHP'de tespit edilen iki kritik güvenlik açığı, dijital güvenlik konusunda yeni bir tartışma başlattı. PHP2Shell olarak adlandırılan açıkların belirli koşullarda saldırganların sunucularda uzaktan kod çalıştırmasına imkân tanıyabilmesi, kamu kurumlarından özel sektör kuruluşlarına kadar geniş bir alanda güvenlik önlemlerinin artırılmasına neden oldu. PHP ekibi güvenlik güncellemelerini yayımlarken bazı ülkelerde kamuya açık internet siteleri önlem amacıyla geçici olarak erişime kapatıldı.

Türkiye'de de Cumhurbaşkanlığı Siber Güvenlik Başkanlığı tarafından ulusal düzeyde önleyici çalışmalar başlatıldığı duyuruldu. e-Devlet Kapısı'nda güvenlik kontrollerinin tamamlandığı ve hizmetlerin kesintisiz sürdüğü açıklandı. Gelişmelerin ardından vatandaşların aklındaki en önemli soru ise aynı: PHP açığı kişisel verilere ulaşılmasına neden olabilir mi, kullanıcıların şifrelerini değiştirmesi gerekiyor mu?

Milliyet.com.tr'ye konuşan Marmara Üniversitesi Öğretim Üyesi ve Dijital İletişim Uzmanı Prof. Dr. Ali Murat Kırık, PHP açıklarının risklerini ve vatandaşların alabileceği önlemleri değerlendirdi. Kırık, güvenlik açığının varlığının bütün internet sitelerinin saldırıya uğradığı veya kullanıcı bilgilerinin çalındığı anlamına gelmediğine dikkat çekti.

PHP2SHELL AÇIĞI KİŞİSEL VERİLERİ NASIL ETKİLEYEBİLİR?

PHP, dünya genelinde çok sayıda internet sitesinin dinamik ve etkileşimli çalışmasını sağlayan bir programlama dili olarak kullanılıyor. Özellikle WordPress gibi yaygın içerik yönetim sistemlerinde, çevrim içi mağazalarda ve kullanıcı bilgilerinin işlendiği web uygulamalarında önemli bir yere sahip.

PHP2Shell adı verilen ve CVE-2026-109618 ile CVE-2026-109619 kodlarıyla takip edilen iki güvenlik açığı, belirli koşullarda saldırganların sunucularda kullanıcı adı ve şifreye ihtiyaç duymadan kod çalıştırmasına imkân tanıyabiliyor. Açıklar, CVSS v4.0 değerlendirmesinde 10 üzerinden 9,2 puan aldı.

Prof. Dr. Ali Murat Kırık, riskin vatandaşların günlük hayatta kullandığı internet hizmetleri üzerinden değerlendirilmesi gerektiğini belirterek şu ifadeleri kullandı:

"Örneğin bir haber sitesini ziyaret ettiğinizde, bir alışveriş sitesinden ürün satın aldığınızda veya bir şirketin internet sitesine üye olduğunuzda, arka planda PHP ile çalışan bir sunucu kullanılıyor olabilir. Eğer bu sunucu güvenlik açığından etkileniyorsa ve gerekli güncellemeler yapılmamışsa saldırganlar sunucuda uzaktan kod çalıştırmayı deneyebilir."

Kırık'a göre böyle bir durumda sunucunun yapısına ve saldırganın elde ettiği erişime bağlı olarak üyelik bilgileri, telefon numaraları, adresler ve sipariş kayıtları gibi kişisel veriler risk altına girebilir.

Ancak uzman, kritik bir ayrımın altını çizdi: PHP kullanan bütün internet sitelerinin saldırıya uğradığı veya bütün kullanıcı bilgilerinin çalındığı söylenemez. Belirleyici olan, internet sitesinin hangi yazılım sürümünü kullandığı ve gerekli güvenlik önlemlerinin uygulanıp uygulanmadığı.

E-DEVLET'TEKİ KONTROLLER TAMAMLANDI! VATANDAŞLAR ENDİŞELENMELİ Mİ?

PHP açığıyla ilgili uluslararası gelişmelerin ardından Türkiye'de de güvenlik çalışmaları başlatıldı. Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, kamu kurumları başta olmak üzere Türkiye genelindeki sistemlerde güvenlik taramalarının başlatıldığını ve ilgili kurumlara acil tedbirlerin alınması için bildirimler gönderildiğini duyurdu.

Siber Olaylara Müdahale Ekipleri (SOME) İletişim Platformu üzerinden kamu kurumlarına, özel sektör kuruluşlarına ve kritik altyapılara yönelik güvenlik duyurusu paylaşıldı. Kurumlardan internete açık sistemlerini gözden geçirmeleri ve güvenlik güncellemelerini gecikmeden uygulamaları istendi.

Siber Güvenlik Başkanlığı'nın açıklamasında ise "Dünya genelinde internet siteleri ve kurumsal uygulamalarda yaygın olarak kullanılan PHP yazılımında iki kritik güvenlik açığı tespit edildi. e-Devlet kapısında güvenlik kontrolleri tamamlandı, hizmetler kesintisiz sürüyor." ifadelerine yer verildi.

Prof. Dr. Ali Murat Kırık, e-Devlet gibi milyonlarca vatandaşın kullandığı kritik dijital hizmetlerde güvenlik kontrollerinin tamamlanmasının önemli olduğunu belirtti. Kırık, mevcut açıklamalar kapsamında e-Devlet'teki güvenlik kontrollerinin tamamlandığının ve bilinen bir sorun bulunmadığının belirtilmesi durumunda vatandaşların paniğe kapılmasını gerektiren bir durum olmadığını ifade etti.

Uzman, PHP altyapısında güvenlik açıklarının tespit edilmesinin e-Devlet sisteminin bu açıklardan etkilendiğini veya vatandaşların kişisel verilerinin tehlikeye girdiğini göstermediğini vurguladı. Her kurumun kullandığı altyapı, yazılım sürümü ve güvenlik önlemlerinin farklı olduğuna dikkat çeken Kırık, e-Devlet'in diğer internet siteleriyle aynı şekilde değerlendirilmemesi gerektiğini söyledi.

Kırık'a göre hiçbir dijital sistem için mutlak güvenlik garantisi verilemese de gerekli kontrollerin tamamlanması ve güvenlik önlemlerinin uygulanması, risklerin yönetilmesi açısından önemli bir adım. Vatandaşların resmî açıklamaları takip etmesi, doğrulanmamış iddialar nedeniyle telaşa kapılmaması gerekiyor.

GÜNCELLEME YAYIMLANDI AMA GÖZDEN KAÇAN BİR RİSK VAR MI?

PHP geliştirme ekibi, 21 Ekim'de iki güvenlik açığını gidermek amacıyla yeni sürümleri yayımladı. Güncellemeler, PHP'nin desteklenen dört sürüm dalını kapsıyor.

Güvenli sürümler şöyle sıralandı:

PHP 8.5.12

PHP 8.4.27

PHP 8.3.36

PHP 8.2.35

PHP ekibi, internet isteklerini işleyen PHP altyapısına sahip kurulumların kontrol edilmesi gerektiğini duyurdu. Resmî duyuruda riskin özellikle Apache mod_php kurulumlarında daha yüksek olduğuna dikkat çekildi. PHP 8.1 ve daha eski sürümler ise artık proje tarafından resmî olarak desteklenmiyor. Bu sürümleri kullanan sistemlerin desteklenen sürümlere geçirilmesi gerekiyor.

Bununla birlikte güvenlik güncellemelerinin yayımlanması, bütün internet sitelerinin aynı anda güvende olduğu anlamına gelmiyor. PHP geliştiricileri, yalnızca belirli ayarların değiştirilmesiyle tüm riskleri ortadan kaldıran geçici bir çözüm bulunmadığını açıkladı.

Prof. Dr. Ali Murat Kırık da güncellemeler yayımlanmadan önce sistemlere sızılmış olma ihtimalinin teknik açıdan mümkün olduğunu belirtti. Ancak bu ihtimalin, herhangi bir kurumun saldırıya uğradığını veya vatandaşların verilerinin çalındığını tek başına göstermediğini vurguladı. Kırık, "Güvenlik güncellemelerinin uygulanması kadar, güncelleme öncesindeki olası yetkisiz erişimlerin de araştırılması önemlidir." değerlendirmesinde bulundu;

"Teknik açıdan bakıldığında, bir güvenlik açığının duyurulmasından veya ilgili güncellemenin yayımlanmasından önce saldırganların bu açıktan yararlanmaya çalışması mümkündür. Ancak bu yalnızca teorik bir ihtimaldir; herhangi bir kurumun saldırıya uğradığını veya vatandaşların verilerinin çalındığını tek başına göstermez. Böyle bir durumun yaşanıp yaşanmadığını belirlemek için kurumların sunucu kayıtlarını, ağ trafiğini, şüpheli bağlantıları ve sistemlerde meydana gelen olağan dışı değişiklikleri incelemesi gerekir. Güvenlik güncellemelerinin uygulanması kadar, güncelleme öncesindeki olası yetkisiz erişimlerin de araştırılması önemlidir. Bununla birlikte PHP açıklarıyla ilgili böyle bir ihtimalin bulunması, Türkiye'deki kurumlarda mutlaka bir sızıntı yaşandığı şeklinde yorumlanmamalıdır. Şu aşamada doğrulanmış bir veri ihlali bilgisi yoksa, ihtimalleri gerçekleşmiş olaylar gibi sunmak doğru olmaz."

BİR İNTERNET SİTESİ SALDIRIYA UĞRADIYSA NASIL ANLAŞILIR?

Bir internet sitesinin çalışmaya devam etmesi, o sistemin hiçbir saldırıya uğramadığı anlamına gelmiyor. Aynı şekilde bir internet sitesinin geçici olarak erişime kapatılması da saldırıya uğradığını kanıtlamıyor. Prof. Dr. Ali Murat Kırık'a göre olası bir saldırının tespit edilebilmesi için kurumların sunucu kayıtlarını, ağ trafiğini, şüpheli bağlantıları ve sistemlerde meydana gelen olağan dışı değişiklikleri incelemesi gerekiyor.

Yetkisiz erişim girişimlerinin araştırılması, veri tabanlarında olağan dışı işlemlerin kontrol edilmesi ve gerektiğinde adli bilişim analizi yapılması da bu sürecin parçaları arasında yer alıyor. Kişisel verilerin sistem dışına çıkarılıp çıkarılmadığının belirlenmesi ise ayrıca teknik inceleme gerektiriyor.

Uzman, vatandaşların kendi bilgilerinin risk altında olup olmadığını her zaman doğrudan anlayamayabileceğini belirterek bir hesabın normal çalışmasının bütün verilerin kesinlikle güvende olduğunu kanıtlamadığını ifade etti. Bununla birlikte doğrulanmış bir ihlal bilgisi bulunmadan kişisel verilerin çalındığını ileri sürmenin de doğru olmadığını vurguladı;

"Olası bir veri ihlali durumunda kurumların inceleme yapması, doğrulanmış bulguları açıklaması ve gerekli bildirimleri gerçekleştirmesi önemlidir. Ancak doğrulanmış bir ihlal bilgisi bulunmadan vatandaşların kişisel verilerinin çalındığını ileri sürmek de doğru değildir.

AVRUPA'DA KAMU SİTELERİ NEDEN KAPATILDI?

PHP güvenlik açığı nedeniyle bazı Avrupa ülkelerinde de dikkat çekici önlemler alındı. Hollanda'da Overheid.nl ve MijnOverheid.nl gibi kamu hizmetleriyle bağlantılı bazı internet siteleri geçici olarak kapatıldı. Finlandiya'da devletin bilişim hizmetlerinden sorumlu Valtori, bazı kamuya açık internet hizmetlerini geçici olarak erişime kapattı. Fransa'da valiliklerin internet siteleri dâhil bazı kamu hizmetlerinin erişime kapatıldığı açıklandı. Almanya'da federal bilişim hizmetlerini yürüten ITZBund'un bazı internet siteleri için önlem aldığı aktarıldı. Belçika başta olmak üzere çeşitli ülkelerde de bazı kamu kurumlarının internet siteleri geçici olarak kapatılan hizmetler arasında yer aldı.

Bu önlemlerin tamamının doğrulanmış bir siber saldırının sonucu olduğu söylenemez. Kurumların erişimi geçici olarak durdurması, tek başına veri sızıntısı yaşandığını göstermiyor. Bu tür kararlar, olası saldırı riskini azaltmak ve sistemlerin güvenliğini kontrol etmek amacıyla alınabiliyor.

VATANDAŞLARIN E-DEVLET ŞİFRELERİNİ DEĞİŞTİRMESİ GEREKİYOR MU?

PHP açığının gündeme gelmesinin ardından kullanıcıların en çok merak ettiği konulardan biri de şifre güvenliği oldu. Prof. Dr. Ali Murat Kırık, yalnızca PHP güvenlik açıklarının gündeme gelmesi nedeniyle vatandaşların e-Devlet şifrelerini topluca değiştirmelerini gerektiren doğrulanmış bir durum bulunmadığını belirtti. Uzman, e-Devlet tarafında güvenlik kontrollerinin tamamlandığı açıklaması dikkate alındığında, vatandaşların yalnızca bu haber nedeniyle telaşa kapılarak şifre değiştirmesine gerek olmadığını ifade etti.

Ancak şifresini farklı internet sitelerinde de kullanan, şifresini şüpheli bir bağlantı üzerinden paylaşan veya hesabında olağan dışı bir işlem fark eden kişilerin gerekli önlemleri alması gerekiyor.

Kırık, genel dijital güvenlik açısından her hesapta farklı ve güçlü şifre kullanılmasını, mümkün olan yerlerde iki aşamalı doğrulamanın etkinleştirilmesini ve hesap hareketlerinin takip edilmesini önerdi.

Uzman ayrıca sunucu tarafındaki bir güvenlik açığının, vatandaşların şifrelerini değiştirmesiyle tek başına giderilemeyeceğine dikkat çekti. Asıl sorumluluğun, ilgili sistemleri yöneten kurumların güvenlik açıklarını kapatması ve sistemlerini düzenli olarak denetlemesi olduğunu vurguladı.

BANKA VE SOSYAL MEDYA HESAPLARI İÇİN HANGİ ÖNLEMLER ALINMALI?

PHP açıklarının gündeme gelmesi, bütün banka hesaplarının veya sosyal medya hesaplarının risk altında olduğu anlamına gelmiyor. Her platformun kullandığı altyapı, yazılım sürümü ve güvenlik önlemleri farklılık gösteriyor. Prof. Dr. Ali Murat Kırık, vatandaşların banka hesap hareketlerini ve işlem bildirimlerini takip etmelerinin faydalı olacağını belirtti;

"Vatandaşların banka hesap hareketlerini ve işlem bildirimlerini takip etmeleri, tanımadıkları bir işlemle karşılaştıklarında bankalarıyla resmî kanallardan iletişime geçmeleri faydalı olacaktır. Sosyal medya ve e-posta hesaplarında iki aşamalı doğrulamanın etkinleştirilmesi, tanınmayan cihazlardan yapılan girişlerin kontrol edilmesi ve aynı şifrenin birden fazla platformda kullanılmaması da önemlidir. Ancak PHP güvenlik açıklarının gündeme gelmesi, bütün banka hesaplarının veya sosyal medya hesaplarının risk altında olduğu anlamına gelmez. Her platformun kullandığı altyapı, yazılım sürümü ve güvenlik önlemleri farklıdır."

Kırık'ın dikkat çektiği bir diğer konu ise dolandırıcılık girişimleri oldu. Kullanıcılara şifrelerinin çalındığını, hesaplarının tehlikede olduğunu veya güvenlik güncellemesi yapmaları gerektiğini söyleyen mesajlar gönderilebileceğini belirten uzman, bu tür mesajlardaki bağlantılara düşünmeden tıklanmaması gerektiğini ifade etti. İşlemlerin ilgili kurumların resmî internet siteleri veya uygulamaları üzerinden gerçekleştirilmesi, şüpheli mesajlara karşı alınabilecek temel önlemler arasında bulunuyor.

TELEFONLARA VE BİLGİSAYARLARA DOĞRUDAN BULAŞIYOR MU?

PHP altyapısındaki güvenlik açıkları öncelikle savunmasız sunucuları ve bu sunucularda çalışan internet hizmetlerini ilgilendiriyor. Prof. Dr. Ali Murat Kırık, yalnızca internette gezinmenin, telefondan bir haber sitesine girmenin veya bilgisayardan alışveriş yapmanın cihazın otomatik olarak bu açık nedeniyle ele geçirildiği anlamına gelmediğini belirtti.

Uzman, temel riskin güvenlik açığı bulunan bir sunucunun saldırıya uğraması ve o sistemde tutulan verilerin veya hizmetlerin etkilenmesi olduğunu ifade etti. Bununla birlikte saldırıya uğramış bir internet sitesine zararlı içerik yerleştirilmesi gibi farklı senaryoların da mümkün olduğunu söyledi.

Vatandaşların telefonlarına veya bilgisayarlarına PHP yükleyerek güncelleme yapmalarına gerek olmadığını belirten Kırık; cihazların işletim sistemlerini ve uygulamalarını güncel tutmalarını, güvenilir olmayan dosyaları indirmemelerini ve şüpheli bağlantılardan uzak durmalarını önerdi.

SİBER GÜVENLİKTE ASIL SORUMLULUK KİMDE?

PHP açığı, günlük hayatta kullanılan internet sitelerinin, alışveriş platformlarının ve kamu hizmetlerinin arka planda ortak yazılım altyapılarına dayanabildiğini bir kez daha gündeme getirdi. Prof. Dr. Ali Murat Kırık'a göre bu altyapılarda ortaya çıkan ciddi bir güvenlik açığı, gerekli önlemler alınmadığında çok sayıda sistemi etkileyebilir. Bu nedenle kurumların güvenlik güncellemelerini gecikmeden uygulaması, sistemlerini düzenli olarak denetlemesi ve olası saldırılara karşı hazırlıklı olması gerekiyor.

HERKESİN BİLMESİ GEREKEN DETAY

Vatandaşlar açısından en önemli mesaj ise paniğe kapılmadan tedbirli olmak ve doğrulanmamış iddialara itibar etmemek. Güçlü ve farklı şifreler kullanmak, iki aşamalı doğrulamayı etkinleştirmek ve şüpheli mesajlara karşı dikkatli davranmak bireysel güvenliği güçlendirebilir. Ancak dijital altyapının güvenliğini sağlama sorumluluğu esas olarak bu sistemleri geliştiren ve yöneten kurumlara ait.

e-Devlet'teki güvenlik kontrollerinin tamamlandığının açıklanması olumlu bir gelişme olarak öne çıkarken, PHP açıklarının varlığı tek başına bütün dijital hizmetlerin tehlikede olduğu anlamına gelmiyor. Siber güvenlikte doğru yaklaşım, ne paniğe kapılmak ne de riskleri küçümsemek. Asıl önemli olan, doğrulanmış bilgilerle hareket etmek, güvenlik önlemlerini zamanında uygulamak ve olası ihlalleri teknik incelemelerle ortaya çıkarmak.