Bedri YılmazKüresel İnternet Altyapısında "PHP" Krizi: Milyonlarca Web Sitesi Tehdit Altında
İnternet sitelerinin çok büyük bir bölümüne güç veren temel programlama dillerinden biri olan PHP’de tespit edilen iki kritik güvenlik açığı, dünya genelinde devlet kurumları ve şirketleri alarma geçiren bir siber güvenlik krizine dönüştü. 26 Ekim 2026 itibarıyla küresel çapta acil önlemler alınırken, pek çok ülkede web siteleri hizmete kapatıldı.
Açığın Tespiti ve Kronolojik Süreç
İlk İşaretler (2024): Milyonlarca sistemi ilgilendiren zafiyetin ilk izleri aslında 2024 yılında fark edilmiş olmasına rağmen, sorunun tam boyutu ve çözümü uzun süre tespit edilemedi.
Yapay Zeka ile Analiz (Ağustos - Ekim 2026): Zafiyetin kesin olarak belirlenmesi ve yamanın geliştirilmesi süreci, yapay zeka şirketi OpenAI öncülüğündeki uzman bir grubun ileri seviye yapay zeka araçlarını haftalarca kullanması sonucunda tamamlandı.
Sızıntı ve Acil Duyuru (20-21 Ekim 2026): 20 Ekim'de açığa dair saldırı senaryolarının internete sızmasıyla süreç hızlandı. 21 Ekim akşamı ABD Federal Soruşturma Bürosu (FBI) ve ABD Ulusal Güvenlik Ajansı (NSA) güvenlik açığını kamuoyuna duyurdu. Eş zamanlı olarak PHP Foundation (PHP Vakfı) acil bir güvenlik güncellemesi (yama) yayınladı.
Bu Güvenlik Açığı Neyi İfade Ediyor?
PHP, bir internet sitesine girildiğinde sunucudaki verileri bir araya getirerek kullanıcının tarayıcısına web sayfası olarak sunan "sunucu taraflı" bir dildir. Tespit edilen CVE-2026-109618 ve CVE-2026-109619 kodlu zafiyetler, sistemin bellek yönetimindeki hatalardan kaynaklanmaktadır.
Bu durum, kötü niyetli kişilerin zafiyet barındıran sunuculara uzaktan sızmasına ve zararlı kod çalıştırmasına olanak tanımaktadır. Güvenlik açıklarının kapatılmaması (yamalanmaması), kurumların verilerinin çalınmasına, sistemlerin yetkisiz erişime açılmasına ve hizmetlerin tamamen çökertilmesine yol açabilecek düzeyde risk taşımaktadır.
Küresel Tedbirler ve Japonya'dan "Kapatın" Uyarısı
Açığın boyutu nedeniyle ABD başta olmak üzere birçok ülkede sistemlerin acilen güncellenmesi çağrısı yapıldı. En radikal adımlardan biri ise Japonya'dan geldi.
Japonya Başbakanı Sanae Takaichi, hem özel sektöre hem de kamu kurumlarına hitaben yaptığı açıklamada, sistem güncellemelerinin hayati önem taşıdığına dikkat çekerek şu sert uyarıda bulundu: "Eğer yama işlemini hızla uygulamak zor ise, web sitelerinin ve benzeri sistemlerin geçici olarak askıya alınmasının riski azaltmak için etkili bir yol olarak değerlendirilmesi gerekir". Bu çağrının ardından risk almak istemeyen pek çok uluslararası şirket ve kurum web sitelerini geçici olarak çevrimdışı konuma getirdi.
Türkiye'de Alınan Önlemler ve Resmi Açıklamalar
Krizin dünya geneline yayılmasıyla birlikte Türkiye'de de T.C. Siber Güvenlik Başkanlığı hızla harekete geçerek 21 Ekim'de ulusal çapta güvenlik taramaları başlattı ve ilgili kurumlara acil güvenlik bildirimleri iletti.
Siber Güvenlik Başkanlığı tarafından yapılan resmi açıklamada sürece ilişkin şu detaylara yer verildi:
"Kamu kurumlarının, kritik altyapı işletmecilerinin ve özel sektör kuruluşlarının güvenlik güncellemelerini ivedilikle uygulamaları önem taşımaktadır".
Söz konusu açıkların veri güvenliği ihlaline ve dijital hizmetlerin durmasına yol açabileceği uyarısı yapılarak, önleyici güvenlik çalışmalarının ulusal düzeyde koordine edildiği vurgulandı.
Yapılan taramalar sonucunda e-Devlet kapısı gibi kritik altyapılarda herhangi bir sorun veya ihlal tespit edilmediği bildirildi.
Özetle, dijital dünyanın görünmez taşıyıcı kolonlarından biri olan PHP'deki bu açık; yazılım güncellemelerinin ve siber güvenlik denetimlerinin yalnızca teknik bir detay değil, ulusal güvenlik ve ticaretin sürekliliği için en temel unsur olduğunu bir kez daha ortaya koymuştur.
