PHP açıkları küresel alarm yarattı: devlet siteleri kapatıldı

22 Ekim 2026’de PHP programlama dilinde iki kritik güvenlik açığı tespit edilmesinin ardından küresel çapta uyarı verildi. Açıklar nedeniyle bazı devlet siteleri geçici olarak çevrimdışı bırakıldı ve internet sitesi işletmecilerine acil güncelleme çağrısı yapıldı.^[1][2][3][5]

Haberlerde, PHP’nin internet sitelerinin çok büyük bölümünde kullanıldığı ve bu nedenle açığın geniş bir etki alanı oluşturduğu aktarıldı. ABD, Almanya, Fransa, Belçika, Hollanda, Finlandiya, Çekya ve Japonya’dan farklı kurumların önlem aldığı bildirildi.^{[1][2][3][4][5]}

NSA, PHP kullanan kuruluşlara iki açığı gideren güncellemeyi derhal uygulama çağrısı yaptı; bunu yapamayanlara siteleri kapatmalarını önerdi. BBC’nin aktardığına göre ajans, risklerin ABD hükümetindeki bakanlık ve kurumlarda da derhal yama gerektirecek kadar ciddi olduğunu söyledi.^[1][2][5]

PHP Derneği, sorunların karşılaşılan en ciddi güvenlik açıkları arasında yer aldığını belirtti ve koordineli yanıt çağrısında bulundu. OpenAI ise son iki ayda bakım sorumluları, araştırmacılar ve güvenlik sağlayıcılarından oluşan bir koalisyona öncülük ettiğini açıkladı.^[1][5]

Türkiye Siber Güvenlik Başkanlığı, ulusal ölçekte güvenlik taramaları başlattığını ve ilgili kurumlara acil bildirim gönderdiğini duyurdu. LOG’un aktardığı açıklamada, kamu, kritik altyapı ve özel sektör kuruluşlarının güncellemeleri ivedilikle uygulaması istendi.^[1][6]

Kaynaklar, açıkları keşfeden ekipleri ve tarihleri benzer biçimde verse de kullanılan vurgu değişiyor. Hürriyet, BBC, Haberglobal ve Posta iki kritik açığı öne çıkarırken; NationalTurk ve LOG bunları “PHP2Shell” adıyla anıyor ve LOG ayrıca CVE-2026-109618 ile CVE-2026-109619 kodlarını veriyor.^{[1][2][3][4][5][6]}

BBC, etkilerin oyun platformlarından devlet portallarına kadar uzandığını ve Wikipedia çevresindeki yapılarda da önlem alındığını yazdı. Hürriyet ve diğer kaynaklar ise daha çok devlet sitelerinin kapatılması ile güvenlik yamalarına odaklandı; etkilenen kurumların tam listesi kaynaklarda aynı ayrıntıyla yer almıyor.^{[1][2][3][5][6]}

Açıkların tam olarak kaç siteyi etkilediği kaynaklarda netleştirilmiyor; bu konuda kesin sayı verilmedi. Bu soruya BBC, Hürriyet, Haberglobal, NationalTurk, Posta ve LOG’da yanıt yok.^{[1][2][3][4][5][6]}

Yamalar yüklendikten sonra kapanan sitelerin ne zaman tamamen açılacağı belirtilmiyor; özellikle BBC ve Hürriyet bu zamanlamayı aktarmıyor. Hangi kurumların ne kadar süre çevrimdışı kalacağı da kaynaklarda yer almıyor.^[1][2]

Açıkların saldırıda fiilen kullanılıp kullanılmadığına dair doğrulanmış bir olay anlatılmıyor. Kaynaklar, risk ve olasılıkları aktarırken somut bir siber saldırı vakası bildirmiyor.^{[1][2][3][4][5][6]}

Türkiye’de başlatılan taramaların hangi kurumları kapsadığı ve hangi altyapıların özel olarak işaretlendiği açıklanmıyor. Bu ayrıntı LOG ve diğer kaynaklarda bulunmuyor.^[1][2][6]