Avrupa'da kamu kurumları, hastaneler ve çeşitli kuruluşlara ait internet sitelerinin geçici olarak erişime kapatılmasının arkasında PHP programlama dilinde tespit edilen iki kritik güvenlik açığı bulunuyor. PHP geliştiricileri, 21 Ekim 2026 tarihinde PHP2Shell adıyla anılan güvenlik sorunlarına karşı güncellemeler yayımladı. Açıkların, belirli koşullarda saldırganların kimlik doğrulaması yapmadan sunucularda uzaktan kod çalıştırmasına imkân verebildiği bildirildi.
Birleşik Krallık ve Kanada'nın resmî siber güvenlik kurumları, PHP kullanan internet sistemlerinin hızla kontrol edilmesini istedi. Bazı kuruluşlar ise gerekli güncellemeler tamamlanıncaya kadar sitelerini geçici olarak kapatma yoluna gitti. Yaşanan gelişme internetin tamamının çökmesinden değil, ciddi bir güvenlik riskine karşı alınan koruyucu önlemlerden kaynaklanıyor.
PHP2Shell nedir, internet siteleri neden kapatıldı?
PHP2Shell, PHP yazılımında tespit edilen ve sunucularda uzaktan kod çalıştırılmasına yol açabilen iki kritik güvenlik açığı için kullanılan ad. Açıklar CVE-2026-109618 ve CVE-2026-109619 kimlikleriyle tanımlanıyor.
Kanada Siber Güvenlik Merkezinin 21 Ekim tarihli açıklamasına göre sorunlar PHP'nin bellek yönetimiyle ilişkili. Bu tür açıkların istismar edilmesi, savunmasız sistemlerde yetkisiz işlemler gerçekleştirilmesi ve sunucularda tutulan verilerin güvenliğinin tehlikeye girmesi riskini doğurabiliyor.
Birleşik Krallık Ulusal Siber Güvenlik Merkezi, kurumlara kullandıkları PHP sistemlerini belirlemelerini, güvenlik yamalarını uygulamalarını ve hemen güncellenemeyen riskli sistemleri geçici olarak çevrimdışı bırakmayı değerlendirmelerini tavsiye etti.
Dolayısıyla bazı internet sitelerinin kapatılması, mutlaka saldırıya uğradıkları anlamına gelmiyor. Bu kararlar, olası güvenlik ihlallerini önlemek amacıyla da alınabiliyor.
Hangi ülkelerde internet siteleri erişime kapatıldı?
21 Ekim 2026 tarihinde yayımlanan uluslararası haberlerde Almanya, Fransa, Hollanda, Finlandiya ve Çekya'da çeşitli internet sitelerinin güvenlik gerekçesiyle geçici olarak kapatıldığı aktarıldı.
Almanya'da federal bilişim hizmet sağlayıcısı ITZBund'un bazı internet sitelerinde tedbir uyguladığı, Fransa'da ise valiliklere ait sitelerin bir bölümünün geçici olarak devre dışı bırakıldığı bildirildi.
Hollanda'da Rotterdam Limanı ve bazı hastanelerin de aralarında bulunduğu kuruluşların koruyucu önlemlere başvurduğu belirtildi. Finlandiya ve Çekya'da da resmî internet sitelerinin güvenlik kontrolleri kapsamında kapatıldığına ilişkin bilgiler paylaşıldı.
Wikimedia Foundation'ın da PHP kullanan bazı sistemlerini güncellemeler tamamlanıncaya kadar geçici olarak kapattığı bildirildi. Ancak bu gelişme Wikipedia'nın bütün hizmetlerinin kalıcı olarak durdurulduğu anlamına gelmiyor.
Etkilenen sitelerin toplam sayısı ve tamamının ne zaman yeniden erişime açıldığı konusunda doğrulanmış kapsamlı bir liste bulunmuyor.
PHP güvenlik açığı hangi sürümleri etkiliyor?
PHP geliştiricileri, kritik güvenlik sorunlarını gidermek amacıyla PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini 21 Ekim 2026 tarihinde yayımladı.
Güvenlik uyarılarında PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed gibi farklı PHP çalıştırma ortamlarına dikkat çekildi. Özellikle internetten doğrudan erişilebilen sunucuların öncelikle kontrol edilmesi istendi.
PHP'nin 8.1 ve daha eski sürümleri ana proje tarafından artık güvenlik güncellemesi almıyor. Bununla birlikte bazı işletim sistemi dağıtıcıları eski sürümlere geriye dönük güvenlik yamaları sağlayabiliyor. Bu nedenle bir sunucunun yalnızca görünen sürüm numarasından hareketle kesin olarak savunmasız olduğu sonucuna varılmamalı.
PHP kullanan site sahipleri ne yapmalı?
PHP tabanlı internet sitelerinin yöneticilerinin öncelikle sunucularında kullanılan sürümleri ve uygulanan güvenlik yamalarını kontrol etmesi gerekiyor. PHP geliştiricilerinin ve ilgili işletim sistemi sağlayıcılarının yayımladığı güncellemelerin değerlendirilmesi önem taşıyor.
Birleşik Krallık Ulusal Siber Güvenlik Merkezi, güncellemelerin geciktirilmemesini ve riskli sistemlerin belirlenmesini öneriyor. Hemen güvenli duruma getirilemeyen, internetten erişilebilen sistemlerde geçici erişim kısıtlamaları değerlendirilmesi gereken önlemler arasında bulunuyor.
Sunucu yöneticilerinin yalnızca internet sitesindeki uygulama kodunu değil, PHP'nin çalıştığı sunucu ortamını da incelemesi gerekiyor. Güncellemelerin doğru uygulanıp uygulanmadığının ve ilgili servislerin güvenli biçimde çalıştığının kontrol edilmesi de bu sürecin parçası.
PHP2Shell açığı üzerinden siber saldırı gerçekleştirildi mi?
Kanada Siber Güvenlik Merkezi, 21 Ekim tarihli değerlendirmesinde örnek saldırı kodlarının bulunduğuna ilişkin açık kaynak raporlarına dikkat çekti. Ancak kurum, açıklamasının hazırlandığı aşamada aktif istismar tespit edilmediğini belirtti.
Bazı uluslararası haberlerde saldırı girişimlerine ilişkin iddialar yer alsa da bu bilgilerin tamamı aynı düzeyde bağımsız doğrulamaya sahip değil.
Güvenlik açığının varlığı, PHP kullanan bütün internet sitelerine saldırıldığı veya bu sitelerdeki verilerin ele geçirildiği anlamına gelmiyor. Gerçekleşmiş saldırıların ve olası veri ihlallerinin kapsamının ayrı ayrı doğrulanması gerekiyor.
Türkiye'de PHP2Shell için hangi önlemler gündemde?
21 Ekim 2026 tarihinde yayımlanan haberlerde, Cumhurbaşkanlığı Siber Güvenlik Başkanlığının kritik güvenlik açıklarına karşı ulusal ölçekte tarama çalışmaları başlattığı ve ilgili kurumlara önleyici tedbir bildirimleri gönderdiği aktarıldı.
Ancak söz konusu açıklamanın Başkanlığın kendi resmî internet sitesindeki özgün metni araştırmada doğrulanamadı. Bu nedenle Türkiye'deki tarama çalışmalarının kapsamı ve sonuçlarına ilişkin kesin değerlendirme yapmak mümkün değil.
PHP geliştiricilerinin yayımladığı güvenlik güncellemeleri ve ulusal siber güvenlik kurumlarının uyarıları, internet sitesi yöneticilerinin sistemlerini kontrol etmesinin önemini ortaya koyuyor. Avrupa'da geçici olarak kapatılan sitelerin yeniden hizmete alınması ise ilgili kuruluşların güvenlik güncellemelerini ve kontrollerini tamamlamasına bağlı.
