İnternetin Kalbinde Kritik Açık Avrupa'da Siteler Kapatıldı

İnternetin temel yazılım altyapılarından biri olan PHP'de tespit edilen iki kritik güvenlik açığı, 21 Ekim 2026'da Avrupa genelinde olağanüstü güvenlik önlemlerine neden oldu. Almanya, Fransa, Belçika, Hollanda, Finlandiya ve Çekya'da devlet kurumları başta olmak üzere çok sayıda kuruluş, olası siber saldırıları önlemek amacıyla internet sitelerini geçici olarak erişime kapattı.

Reuters'ın aktardığı gelişmeler, sorunun sıradan bir internet kesintisi olmadığını ortaya koydu. Kurumlar, henüz saldırıya uğradıkları kesinleşmeden, saldırganların güvenlik açıklarından yararlanmasını engellemek için sistemlerini devre dışı bıraktı.

İki Açık Milyonlarca Sistemi İlgilendiriyor

PHP2Shell adıyla anılan güvenlik sorunu, CVE-2026-109618 ve CVE-2026-109619 olarak kaydedilen iki ayrı yazılım açığından kaynaklanıyor. Her iki açık da 10 üzerinden 9,2 güvenlik ciddiyeti puanına sahip.

Açıkların belirli koşullarda saldırganların kullanıcı adı veya parola ile kimlik doğrulaması yapmadan sunucularda uzaktan zararlı kod çalıştırmasına olanak tanıyabildiği açıklandı. Ayrıca sistem belleğindeki hassas bilgilere erişilmesi riski de bulunuyor.

PHP, WordPress, Drupal ve Joomla gibi yaygın içerik yönetim sistemlerinin altyapısında kullanılıyor. Bu nedenle sorun yalnızca doğrudan PHP ile geliştirilen siteleri değil, bu yazılımı arka planda kullanan çeşitli ticari ve açık kaynaklı uygulamaları da ilgilendiriyor.

Avrupa Birliği Siber Güvenlik Ajansı ENISA, Avrupa Komisyonu, CERT-EU ve Europol ile birlikte yayımladığı açıklamada kuruluşlardan acil önlem almalarını istedi. Özellikle internete doğrudan açık sistemlerin belirlenmesi, güncellenmesi ve gerekiyorsa kamuya açık ağlardan geçici olarak ayrılması önerildi.

Devlet Kurumları ve Hastaneler İnternetten Çekildi

Almanya'da federal bilişim hizmetleri sağlayıcısı ITZBund, bazı kamu internet sitelerini geçici olarak kapattı. Alman Dijital Bakanlığı, kararın tamamen önleyici olduğunu ve bilinen bir güvenlik ihlali bulunmadığını bildirdi.

Fransa'da İçişleri Bakanlığı, yerel yönetim birimlerinin internet sitelerini kullandıkları PHP yazılım çerçevesi için güvenlik düzeltmesi hazırlanmasını beklerken erişime kapattı. Belçika Dışişleri Bakanlığı da olası saldırılarla ilgili uyarıların ardından benzer bir karar aldı. Belçika'nın siber güvenlik merkezi, ülke sitelerine yönelik doğrulanmış bir saldırı kaydetmediğini açıkladı.

En geniş çaplı önlemlerden bazıları Hollanda'da görüldü. Rotterdam Limanı, Overheid.nl kamu portalı, Hollanda Futbol Federasyonu KNVB, ülkenin en büyük beş siyasi partisinin internet siteleri ve çok sayıda hastane sitesi geçici olarak devre dışı bırakılan hizmetler arasında yer aldı.

Finlandiya'da devlet bilişim merkezi Valtori, hükümete ait kamuya açık internet hizmetlerini önlem amacıyla durdurdu. Kurum, sistemlerin kapatılmasının bir veri ihlalinden kaynaklanmadığını ve güvenlik açıklarından yararlanıldığına ilişkin herhangi bir bulgu saptamadığını duyurdu.

Çekya hükümeti ise ulusal siber güvenlik kurumunun tavsiyesi üzerine resmî internet sitesini kapattı. Siteye erişimin, gerekli güvenlik yamaları uygulandıktan sonra yeniden sağlanacağı bildirildi.

Sorunun etkileri kamu kurumlarıyla sınırlı kalmadı. Wikipedia'nın işletmecisi Wikimedia Vakfı da PHP kullanan sistemlerinde güvenlik çalışmaları yürüttüğünü ve bazı hizmetlerini önlem amacıyla kapattığını açıkladı.

Güvenlik Güncellemeleri Yayımlandı

PHP geliştiricileri, 21 Ekim'de kritik açıkları gideren 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. Güvenlik ekibi, PHP kullanan tüm kuruluşları güncellemeleri gecikmeden uygulamaya çağırdı.

PHP 8.1 ve daha eski sürümlerin ana proje tarafından artık desteklenmemesi ise ayrı bir sorun oluşturuyor. Eski sistemleri kullanan kuruluşların desteklenen sürümlere geçmesi veya yazılım sağlayıcılarının sunduğu özel güvenlik düzeltmelerini değerlendirmesi gerekiyor.

İngiltere Ulusal Siber Güvenlik Merkezi, güncellemeleri hemen uygulayamayan kuruluşlara riskli sistemleri geçici olarak çevrimdışı tutmalarını önerdi. Yetkililer, yalnızca geçici koruma önlemlerinin alınmasının güvenlik açıklarını tamamen ortadan kaldırmadığını vurguladı.

Yaşanan gelişmeler, internet altyapısındaki ortak bir yazılım bileşeninde bulunan hatanın birbirinden bağımsız kamu hizmetlerini aynı anda nasıl etkileyebildiğini gösterdi. Şimdilik birçok kesintinin arkasında doğrulanmış bir saldırı değil, saldırı gerçekleşmeden önce alınan önlemler bulunuyor. Ancak güvenlik güncellemelerinin zamanında uygulanması, hem kurumların sistemlerini hem de kullanıcı verilerini korumak için belirleyici olmaya devam ediyor.