Dünya genelinde web sitelerinin büyük bölümünün altyapısında kullanılan PHP programlama dilinde iki kritik güvenlik açığı tespit edildi. Açıkların ayrıntıları 21 Ekim’de yayımlanınca çok sayıda ülkede hükümet siteleri ve dijital hizmetler tedbir amacıyla geçici olarak erişime kapatıldı.
Açıklar ne anlama geliyor?
CVE-2026-109618 ve CVE-2026-109619 numaralı açıklar, birlikte “PHP2Shell” olarak anılıyor. Saldırganlar belirli koşullarda kimlik doğrulaması olmadan sunucuda uzaktan kod çalıştırabiliyor. Açıklar 10 üzerinden 9,2 puanla “kritik” seviyede değerlendirildi.
PHP geliştiricilerine göre sorun, bir web isteği beklenmedik şekilde sonlandığında PHP’nin belleği bozuk bırakabilmesinden kaynaklanıyor. Açıklar, PHP 5.4 ve sonrasında web isteklerini işleyen tüm kurulumları etkiliyor. Riskin en yüksek olduğu yapı Apache’nin “mod_php” modülü. PHP ekibi bu yapıda, uygulama kodu çalışmadan önce kimlik doğrulamasız bir isteğin saldırıyı tetikleyebildiğini gösteren bir deneme yapıldığını bildirdi.
Açıklar PHP’nin kendisinde olduğu için tek tek sitelerin kodlarını ya da eklentilerini güncellemek yetmiyor. Sistem yöneticilerinin PHP’yi güncellemesi ya da barındırma firmasından bunu istemesi gerekiyor.
Yamalar yayımlandı
PHP ekibi 21 Ekim Çarşamba günü acil güvenlik güncellemelerini yayımladı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), açıkları gidermek için PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümlerine geçilmesini istedi. PHP 8.1 ve daha eski sürümler artık desteklenmiyor. CISA, hemen güncelleme yapamayan ya da eski sürüm kullanan kurumlara sistemlerini güncellenene kadar çevrim dışı bırakmalarını önerdi.
FBI’ın siber suçlar birimi de açıkların kötü niyetli kişilere uzaktan kod çalıştırma imkânı tanıyabileceğini, hassas veri ve ağların tehlikeye girebileceğini açıkladı. FBI ve NSA, hemen güncelleme yapılamıyorsa sistemin çevrim dışı bırakılmasını önerdi. NSA, PHP kullanan kuruluşları güncellemeye hazırlanmaya çağırmıştı. Avrupa Birliği’nin siber güvenlik ekibi CERT-EU ile Danimarka, Norveç ve Finlandiya’nın siber güvenlik kurumları da uyarı yayımladı.
Hangi hizmetler kapatıldı?
Reuters ve diğer haber kaynaklarına göre önlemler birçok ülkede kamu hizmetlerini etkiledi:
- Hollanda: Vatandaşların kamu hizmetlerine eriştiği DigiD ve MijnOverheid siteleri geçici olarak kapatıldı. Ulusal Siber Güvenlik Merkezi’nin sitesi de çevrim dışı kaldı.
- Finlandiya: Devletin bilgi teknolojisi sağlayıcısı Valtori, bazı kamu web hizmetlerinin bağlantısını kesti.
- Fransa: İçişleri Bakanlığı, güvenlik güncellemesi beklenirken valiliklerin internet sitelerini geçici olarak çevrim dışı bıraktı. Fransız basınına göre bu adım ulusal bilgi sistemleri güvenlik kurumu ANSSI’nin talebi üzerine atıldı.
- Almanya: Federal hükümetin bilgi teknolojileri hizmet sağlayıcısı ITZBund birkaç siteyi çevrim dışı bıraktı.
- Belçika: Dışişleri Bakanlığı sitelerini geçici olarak kapattı.
- Japonya: Maliye Bakanlığı bazı site içeriklerini ve hizmetlerini askıya aldı. Sağlık, Çalışma ve Refah Bakanlığı da bakım hizmeti sağlayıcılarının iletişim bilgilerini paylaştığı bir siteyi kapattı. Başbakan Sanae Takaichi, site işletmecilerine sistemlerinin PHP kullanıp kullanmadığını kontrol etmelerini ve gerekirse işlevleri geçici durdurmalarını önerdi. Mitsubishi UFJ Financial Group da bazı internet hizmetlerini askıya aldı.
- Avustralya: Avustralya Sinyal İstihbarat Teşkilatı, siber güvenlik sitesi cyber.gov.au’nun etkilenen siteler arasında olduğunu doğruladı.
- Wikimedia: Wikipedia’yı işleten Wikimedia Vakfı, gönüllü geliştiricilerin kullandığı Toolforge ve Cloud VPS hizmetlerini geçici olarak kapattı. Bu nedenle Wikipedia’nın bazı bölümlerine erişilemedi.
Saldırı denemeleri arttı
CISA, yayın sırasında açıkların istismar edildiğini gözlemlemediğini bildirmişti. PHP güvenlik ekibi de ayrıntıların açıklandığı sırada işleyen bir istismar kodu tespit etmediğini söylemişti. Ancak Cloudflare’in CEO’su Matthew Prince, açıklamanın ardından istismar denemelerinin sayısının bin düzeyinden milyonlara çıktığını duyurdu. Şirket, saldırganların koruma sistemlerini aşmak için yöntem değiştirdiğini de belirtti.
Açıklar nasıl bulundu, neden geç yamalandı?
PHP Vakfı’nın açıklamasına göre, açıklardan birinin temelindeki bellek yönetimi sorununun ilk işaretleri 2024'te görülmüştü. Ancak PHP motoru konusunda uzman küçük bir geliştirici ekibi başka işlerle de ilgileniyordu. Kesin bir saldırı yolu da bilinmediği için çözüm süreci defalarca durup yeniden başladı. Vakıf, bu gecikmeyi karar süreci ve kaynak yetersizliğinden doğan “yapısal bir başarısızlık” olarak niteledi.
Konu 11 Ağustos’ta yeniden gündeme geldi. Güvenlik şirketi Calif ve OpenAI ayrı ayrı sorunu bildirdi, Calif de uzaktan kod çalıştırmanın mümkün olduğunu gösterdi. Açıklar daha sonra Calif.io, Wiz, OpenAI ve Quarkslab tarafından duyuruldu. PHP Vakfı, PHP projesinin OpenAI’ın “Patch the Planet” programına dahil edildiğini, güvenlik denetiminin temmuzda başladığını açıkladı. Wall Street Journal’a göre açıkların kimlik numaraları 20 Ekim’de basına sızdı.
Siber güvenlik şirketi Wiz, bulguları PHP’de bugüne kadar keşfedilen en ciddi açıklar arasında değerlendirdi.
Türkiye’de durum
Türkiye’de Siber Güvenlik Başkanlığı, açıklara karşı önleyici çalışma başlattı. Kurum, kamu kurumları başta olmak üzere ülke genelinde güvenlik taramaları yapmaya başladığını, ilgili kuruluşlara Siber Olaylara Müdahale Ekipleri (SOME) İletişim Platformu üzerinden acil güvenlik bildirimi gönderdiğini duyurdu. Başkanlık, internete açık altyapıların gözden geçirilmesini ve güncellemelerin vakit kaybetmeden uygulanmasını istedi. Perşembe sabahı itibarıyla Türkiye’de açıklar nedeniyle ele geçirildiği ya da kapatıldığı bildirilen belirli bir site yok.
Site sahipleri ne yapmalı?
Uzmanlar ve resmî kurumlar şu adımları öneriyor:
- Kurumunuzdaki PHP kullanan sistemleri belirleyin. PHP, başka yazılımların içinde de çalışabildiği için her zaman doğrudan görünmeyebiliyor.
- İnternete açık sistemlerden başlayarak PHP’yi yamalı sürüme güncelleyin.
- Paylaşımlı barındırma kullanıyorsanız PHP’yi kimin güncellediğini barındırma firmanıza sorun.
- Hemen güncelleme yapılamıyorsa siteyi geçici olarak kapatın. Web uygulama güvenlik duvarı (WAF) kısmi koruma sağlayabilir ama güncellemenin yerini tutmaz.
