Dünya genelinde milyonlarca internet sitesinin altyapısını ilgilendiren PHP güvenlik açığı, siber güvenlik alanında alarm zillerini çaldırdı. Yaygın olarak kullanılan PHP programlama dilinde tespit edilen iki kritik açık, internet sitelerinden sunuculara, kurumsal ağlardan hassas verilere kadar geniş bir alanda güvenlik endişelerini beraberinde getirdi. Yapay zekâ desteğiyle tespit edilen açıkların oluşturabileceği riskler uluslararası gündeme taşınırken, ABD Federal Soruşturma Bürosu (FBI) başta olmak üzere ilgili kurumların uyarıları dikkat çekti.
Güvenlik açığına karşı farklı ülkelerde önlemler gündeme gelirken Türkiye'de de Siber Güvenlik Başkanlığı ulusal ölçekte uyarı yayımladı. Kamu kurumları ve dijital sistemlerin güvenliği yeniden gündeme taşınırken, gözler olası veri ihlallerine karşı alınacak önlemlere çevrildi. Başkanlık, e-Devlet Kapısı'ndaki güvenlik kontrollerinin tamamlandığınıGönder ve hizmetlerin kesintisiz sürdüğünü bildirdi.
Peki siber saldırganlar PHP güvenlik açığından yararlanarak internet sitelerine ve sunuculara sızabilir mi? Vatandaşların kişisel verileri, e-posta hesapları ve internet bankacılığı bilgileri açısından nasıl bir risk söz konusu? Kurumlar sistemlerini korumak için hangi adımları atmalı? Vatandaşlar nelere dikkat etmeli?
Siber Güvenlik Uzmanı Onur Oktay, PHP güvenlik açığının olası etkilerini, Türkiye açısından riskleri ve alınması gereken önlemleri Tgrthaber.com Özel Haber Editörü Zeynep Gizem Er'e değerlendirdi.
PHP yazılım dilinde tespit edilen iki kritik güvenlik açığın diğer siber tehditlerden ayıran özelliklerini sıralayan Onur Oktay, uygulama güvenli yazılmış olsa da altındaki zeminin çürük olduğunu ifade ederek sıradan bir açık tek bir eklentiyi veya ürünü etkileyeceğini belirtti:
''PHP, sunucu tarafında hangi dili kullandığı tespit edilebilen web sitelerinin yaklaşık yüzde 70'inin altyapısında çalışıyor. Palo Alto Networks Unit 42 ekibi internette 22,6 milyon potansiyel olarak savunmasız sistem tespit etti. Erişim kolaylığı: "PHP2Shell" adı verilen CVE-2026-109618 ve CVE-2026-109619 açıkları kimlik doğrulama gerektirmiyor. Saldırgan kullanıcı adına, şifreye ya da herhangi bir yetkiye ihtiyaç duymadan, tek bir HTTP isteğiyle sunucuda kod çalıştırabiliyor.
Bu açıkları diğerlerinden ayıran asıl özellik ise yerleri. Açık, uygulamanın kendisinde değil, PHP'nin çekirdeğinde bulunuyor ve uygulama kodu devreye girmeden, gelen istek işlenirken tetikleniyor. Yani sitenin WordPress, Magento ya da kurumun kendi geliştirdiği bir yazılım olması fark etmiyor. Uygulama ne kadar güvenli yazılmış olursa olsun, altındaki zemin çürük. Sıradan bir açık tek bir eklentiyi veya ürünü etkiler; bu açık binlerce farklı ürünün ortak paydasında. Zaman boyutu da en az bunlar kadar kritik. Hata yaklaşık 14 yıldır, PHP 5.4 sürümünden bu yana kodda duruyor.''
Siber saldırılarda yapay zekânın hem tehditleri artırabileceğini hem de savunmayı güçlendirebileceğini belirten Oktay, saldırı kodlarının artık çok daha kısa sürede üretilebildiğine dikkat çekerek kurumların yama ve güvenlik süreçlerini hızlandırması gerektiğini vurguladı:
''Yeni bir dönemdeyiz ve bu olay o dönemin ilk büyük örneklerinden biri. Bu açığı 14 yıl boyunca dünyanın dört bir yanındaki geliştiriciler ve güvenlik araştırmacıları göremedi. Yapay zeka destekli çalışan iki ayrı araştırma ekibi, Calif ve Wiz, birbirinden bağımsız olarak birkaç hafta arayla buldu. Aynı şey savunma içinde geçerli. Yapay zeka-savunma tarafını artık daha ciddiye almalıyız. Bu iki yönlü bir gerçek. Aynı yetenek saldırganın da elinde. Asıl değişen şey zaman çizelgesi.
Eskiden bir yamanın yayımlanmasından çalışan bir saldırı kodunun ortaya çıkmasına kadar günler, bazen haftalar geçerdi. Bugün yapay zeka, yamayı tersine analiz ederek yani aslinda reverse engineering yaparak saldırı kodunun çok daha kısa sürede üretilmesine yardımcı olabiliyor. Kısacası "yamayı hafta sonu yaparız" lüksü bitti. Kurumlar için hızlı savunma yönetimi, yama yönetimi artık aylık bir bakım işi değil, olay müdahalesi refleksiyle yürütülmesi gereken bir süreç.
İyi haber de var: Aynı araçlar savunma tarafının da açıkları saldırgandan önce bulmasını, logları çok daha hızlı analiz etmesini ve saldırıları erken yakalamasını sağlıyor. Bu yarışı, daha hızlı ve daha otomatik çalışan taraf kazanacak. Tabii böyle durumlarda artık bu işinde Yapay Zeka ile yapıldığını söylemek gerek.''
Dünya genelinde çok sayıda internet sitesinin altyapısında kullanılan PHP'de tespit edilen kritik güvenlik açıklarının hangi sistemleri daha fazla tehdit ettiğini değerlendiren Onur Oktay, özellikle güncel olmayan yazılımlar, paylaşımlı hosting hizmetleri ve unutulmuş dijital sistemler konusunda uyarıda bulundu:
Aslında internete açık, PHP ile web isteği işleyen ve güncellenmemiş her sunucu risk altında.
Risk sırasına koyarsak;
Kurumların en büyük riski bildikleri sistemlerden değil, envanterlerinde olmayan sistemlerden geliyor.''
PHP'de tespit edilen kritik güvenlik açıklarının siber saldırganlara hangi imkanları sunabileceğini değerlendiren Onur Oktay, kişisel verilerin çalınmasından kullanıcı hesaplarının ele geçirilmesine, kurumların iç ağlarına sızılmasından sistemlerin devre dışı bırakılmasına kadar uzanan risklere dikkat çekti.
Uzaktan kod çalıştırma (RCE) yeteneğinin saldırganlara sunucuda komut çalıştırma imkânı verdiğini belirten Oktay, olası tehditleri şöyle sıraladı:
''Saldırganlar kişisel verileri çalabilir, hesapları ele geçirebilir veya sistemleri devre dışı bırakabilir. Uzaktan kod çalıştırma yani bizim RCE dediğimiz, saldırgana sunucuda web uygulamasının yetkileriyle dilediği komutu çalıştırma imkanı verir.
Pratikte bunun karşılığı şu:
İkinci açığın (CVE-2026-109619) bellek sızdırma etkisi de doğrulanmış durumda. Bu, aynı sunucuya gelen diğer kullanıcıların isteklerinden veri sızabileceği anlamına geliyor. Nitekim yurt dışında kaynak kodunun çalındığını, çerez verilerinin ve hukuki belgelerin sızdırıldığını açıklayan şirketler şimdiden basına yansıdı.''
PHP güvenlik açıklarına karşı FBI’ın savunmasız internet sitelerinin güncelleme sürecinde çevrimdışı bırakılması yönündeki tavsiyesinin önemine dikkat çeken Oktay, aktif olarak istismar edilen açıklar karşısında güncelleme yapılana kadar sistemleri erişime açık tutmanın ciddi risk oluşturduğunu belirtti.
Kişisel verilerin korunması, olası siber saldırıların önlenmesi ve veri ihlallerinin önüne geçilmesi için bazı durumlarda sitelerin geçici olarak kapatılması gerektiğini vurgulayan Oktay, alınabilecek önlemleri şöyle anlattı:
''FB'ın ''kapatın'' tavsiyesi, durumun ciddiyetini en net gösteren işaret. FBI normalde "güncelleyin" der. "Kapatın" demesi, güncellemeyi beklemenin bile artık güvenli olmadığını kabul etmesi demek. Mantık basit açık kimlik doğrulama istemiyor, aktif olarak istismar ediliyor ve otomatik tarama araçları internetin tamamını saatler içinde tarayabiliyor. Bu koşullarda güncellenmemiş bir sunucuyu açık tutmak, kapısı kırık bir kasayı sokakta bırakmakla aynı şey. Birkaç saatlik erişim kesintisinin maliyeti; bir veri ihlalinin, KVKK yaptırımlarının ve itibar kaybının yanında çok küçük kalır. Hollanda, Finlandiya ve Fransa'da bazı kamu siteleri bu gerekçeyle geçici olarak kapatıldı.
Bir siteyi geçici olarak kapatmayı şu durumlarda kesinlikle öneririm:
Kapatmak, siteyi tamamen karartmak anlamına gelmek zorunda değil. Statik bir bakım sayfası yayınlamak, erişimi yalnızca VPN veya belirli IP adreslerine açmak, ihtiyaç yoksa yurt dışı trafiği kesmek ara çözümler olabilir. Web uygulama güvenlik duvarı (WAF) kuralları faydalı, ancak yalnızca geçici bir kalkan. Hiçbiri güncellemenin yerini tutmaz.''
Siber Güvenlik Başkanlığı’nın PHP güvenlik açıklarına ilişkin ulusal ölçekte uyarı yayımlamasının önemini değerlendiren Siber Güvenlik Uzmanı Onur Oktay, bunun kurumlar için acil güvenlik kontrolü çağrısı anlamına geldiğini belirtti.
Kamu kurumlarından bankalara, e-ticaret sitelerinden hosting firmalarına kadar pek çok sektörün sistemlerini gözden geçirmesi gerektiğini vurgulayan Oktay, özellikle kişisel ve finansal verilerin işlendiği platformların öncelikli olarak kontrol edilmesi gerektiğine dikkat çekti. Oktay, şu ifadeleri kullandı:
''Siber Güvenlik Başkanlığı’mızın olaya müdahale edip insanlara bilgi veriyor olması çok kritik. Bizlerde hem kişisel hem de kurumsal olarak herkese elimizden geldiği kadar yayıyoruz açığı. Ulusal ölçekte uyarı yayımlanması ve tarama başlatılması, açığın Türkiye için de somut ve acil bir risk olarak değerlendirildiğini gösteriyor. Bu bir bilgi notu değil; kurumlara "sistemini şimdi kontrol et" çağrısı. Başkanlığın taraması, internete açık sistemleri dışarıdan tespit edip sahiplerine bildirmek açısından çok değerli. Ancak kurumun iç ağındaki ve envanter dışında kalmış sistemleri yine kurumun kendisi bulmak zorunda.
Kritik işler yapan pek çok kurum var:
PHP güvenlik açıklarının Türkiye'deki olası etkilerine dikkat çeken Siber Güvenlik Uzmanı Onur Oktay, binlerce internet sitesinin aynı anda hedef alınabileceğini belirtti.
Veri sızıntılarının yanı sıra enerji, sağlık ve ulaşım gibi kritik hizmetlerde de dolaylı riskler oluşabileceği uyarısında bulunan Oktay, özellikle web sunucularından kurumların iç ağlarına uzanabilecek saldırı zincirlerine dikkat çekti.
Olası senaryoları değerlendiren Oktay, şu ifadeleri kullandı:
''Geniş çaplı veri sızıntısı riski gerçek ve en olası senaryo bu. Türkiye'de çok sayıda kurumsal ve kamu web sitesi PHP üzerinde çalışıyor ve bunların önemli bir kısmı eski sürümlerde. Saldırganlar otomatik araçlarla binlerce siteyi aynı anda tarayıp ele geçirebilir. Sonuç, tek tek bakıldığında küçük ama toplamda çok büyük bir veri sızıntısı dalgası olabilir. Kritik hizmetlerde doğrudan kesinti ise daha dolaylı bir risk. Enerji şebekesini, tıbbi cihazları veya ulaşımda sinyalizasyonu yöneten operasyonel teknoloji sistemleri PHP ile çalışmaz. Ancak bu kurumların web portalları, randevu ve fatura sistemleri, tedarikçi uygulamaları ve uzaktan erişim panelleri PHP ile çalışıyor olabilir. Asıl tehlike, buradan elde edilen ilk erişimin iç ağa taşınması. Ağ ayrımı zayıf bir kurumda web sunucusundan kurumsal ağa, oradan operasyon ağına uzanan bir saldırı zinciri fidye yazılımıyla sonuçlanabilir ve gerçek bir hizmet kesintisi yaratabilir. Hastanede randevu sisteminin, enerji şirketinde fatura ödeme kanallarının durması gibi vatandaşın doğrudan hissedeceği kesintiler gerçekçi senaryolar. Etkinin ne kadar genişleyeceğini açığın kendisinden çok kurumların ağ ayrımı, izleme ve tespit kapasitesi belirleyecek. 7/24 izleme yapan bir kurum saldırıyı web sunucusunda durdurur; yapmayan bir kurum ise bunu haftalar sonra fidye notuyla öğrenir.''
Kurumların sistemlerinin PHP güvenlik açıklardan etkilenip etkilenmediğini nasıl tespit edebileceğini açıklayan Onur Oktay, sunucu sürümlerinin kontrol edilmesinden şüpheli erişim kayıtlarının incelenmesine kadar alınması gereken teknik önlemleri sıraladı.
Saldırı başarılı olsa bile internet sitesinin çalışmaya devam edebileceği uyarısında bulunan Oktay, yalnızca sitenin erişilebilir olmasına bakılarak sistemlerin güvende olduğuna karar verilmemesi gerektiğini şu sözlerle vurguladı:
Etkilenip etkilenmediğinizi tespit etmek için:
Sisteme sızılıp sızılmadığını anlamak için 17 Ekim'den itibaren loglarda şunlara bakın:
Başarılı bir saldırı her zaman servisi çökertmiyor. "Site çalışıyor, demek ki sorun yok" yanılgısına düşülmemeli.
e-Devlet, internet bankacılığı ve e-posta hesaplarının PHP güvenlik açığından etkilenip etkilenmediği merak konusu oldu.
Onur Oktay, e-Devlet ve vatandaşların kişisel hesapları açısından doğrudan bir risk bulunmadığını, asıl tehlikenin güncel olmayan sunucu sistemlerinden kaynaklandığını belirtti.
Toplu şifre değiştirmenin güvenlik açığını kapatmayacağına dikkat çeken Oktay, riskin kurumların sistemlerini güncellememesinden kaynaklandığını vurguladı.
''Asıl risk sunucu tarafında, yani kurumların sistemlerini güncellememesinde. Bu açık vatandaşın telefonunu veya bilgisayarını etkilemiyor; vatandaşın kendi cihazında yapabileceği bir güncelleme yok. e-Devlet, bankalar ve büyük e-posta sağlayıcıları gibi iyi yönetilen platformlar bu tür durumlarda hızlı aksiyon alıyor ve çok katmanlı korumaya sahip. Şu an için bu platformlara yönelik kamuya açık bir ihlal bilgisi bulunmuyor. Daha kırılgan olanlar, vatandaşın üye olduğu küçük e-ticaret siteleri, forumlar ve yerel hizmet portalları.
Toplu şifre değiştirmek bu açığı kapatmaz.
Bunun yanında iki adımlı doğrulamayı açın ve şifre yöneticisi kullanın. En önemli uyarım şu: önümüzdeki günlerde "PHP açığı nedeniyle hesabınızı doğrulayın" temalı sahte e-posta ve SMS'ler bekliyorum. e-Devlet, banka veya kargo firması adına gelen bağlantılara tıklamayın, adresi kendiniz yazarak giriş yapın. Hiçbir kurum şifrenizi veya SMS ile gelen doğrulama kodunuzu sormaz.''
Google Play
App Store
14:54
Haberi Paylaş
İLGİLİ HABERLER
YORUM YAZ