Bilişim Uygulamalarının ve Dijital Altyapıların Güvenliği Kamusal Sorumluluktur
Bilgisayar Mühendisleri Odası, kamuoyuna “Siber Güvenlikte PHP Açığı” olarak yansıyan ve hem ulusal hem de uluslararası düzeyde bilişim güvenliği risklerinin gündeme gelmesine neden olan gelişmeler üzerine ayrıntılı bir açıklama yayımlayıp olası riskleri ve alınması gereken önlemleri belirterek dijital altyapıların güvenliğinin kamusal bir sorumluluk olduğunu vurguladı.
PHP2Shell: KRİTİK GÜVENLİK AÇIKLARI, KAMUSAL DİJİTAL ALTYAPILAR VE ACİL GÜVENLİK ÖNLEMLERİ
Yapay zekâ araçlarının kullanımı sonucunda belirlenip 21 Ekim 2026’da duyurulan, kamuoyunda “PHP2Shell” adıyla anılan CVE-2026-109618 ve CVE-2026-109619 numaralı iki kritik güvenlik açığı, dünya genelinde PHP teknolojisini kullanan bilgi sistemleri açısından ciddi bir güvenlik riski oluşturmaktadır. Açıkların başarılı biçimde istismar edilmesi, etkilenen sistemlerde uzaktan yetkisiz kod çalıştırılmasına ve hassas verilere erişilmesine yol açabilmektedir.
PHP güvenlik ekibince yayımlanan güncellemelerle, bu açıkların etkisini azaltmak ve sistemleri güvenli duruma getirmek için gerekli düzeltmeler kullanıma sunulmuştur; ancak güncellemelerin tüm kurumlar ve sistemler tarafından zamanında uygulanmaması, dijital hizmetlerin güvenliğini tehdit etmeyi sürdürmektedir.
Bilgisayar Mühendisleri Odası olarak bu gelişmenin yalnızca teknik bir yazılım güvenliği sorunu biçiminde değerlendirilmemesi gerektiğini; kamu hizmetlerinin sürekliliği, kişisel verilerin korunması, ekonomik faaliyetler ve toplumsal güven açısından da ele alınmasının zorunlu olduğunu vurguluyoruz.
Güvenlik Açığının Niteliği ve Kapsamı
PHP (Hypertext Preprocessor, Üstmetin Önişleyici), sunucu tarafında çalışan, açık kaynaklı ve yaygın kullanılan bir programlama dilidir. WordPress, Drupal ve Joomla gibi içerik yönetim sistemleri başta olmak üzere çok sayıda İnternet sitesi, kurumsal uygulama ve dijital hizmet PHP altyapısından yararlanmaktadır. PHP, e-ticaret sistemlerinden müşteri portallarına, kurumsal uygulamalardan çeşitli kamu hizmetlerine dek geniş bir kullanım alanına sahiptir.
PHP2Shell adıyla anılan iki güvenlik açığı, belirli bir İnternet sitesinden ziyade PHP’nin temel çalışma düzeneğindeki bellek yönetimi ve istek işleme süreçleriyle ilgilidir. Bu nedenle risk, yalnızca belirli bir uygulamanın güvenliğine ilişkin değildir; etkilenen PHP sürümlerini çalıştıran sunucular ve bu sunucularda hizmet veren uygulamalar da risk kapsamında değerlendirilmelidir.
Teknik bildirimlere göre, açıkların istismar edilmesi saldırganların kimlik doğrulaması olmadan uzaktan kod çalıştırmasına olanak sağlayabilir. Böyle bir erişim, sistemin yapılandırmasına ve saldırganın elde ettiği yetkilere bağlı olarak veri ihlali, uygulamaların değiştirilmesi, zararlı yazılım yerleştirilmesi, yeni saldırıların başlatılması ve hizmet kesintisi gibi sonuçlar doğurabilir.
Bu durum, güncel güvenlik yamalarının uygulanmasını ve kurumların kendi sistemlerini bütünlüklü biçimde gözden geçirmesini zorunlu kılmaktadır.
Kamu Kesiminde ve Farklı Sektörlerde Olası Etkiler
Kamu Kurumları: Kamu kurumlarının İnternet siteleri, başvuru uygulamaları, dijital belge ve işlem platformları ile diğer çevrimiçi hizmetlerinde PHP kullanılıyor olabilir. Savunmasız sunucuların ele geçirilmesi, hizmetlerin kesintiye uğramasına, yurttaşların kişisel verilerinin açığa çıkmasına, kurumsal bilgilerin değiştirilmesine ve kamu hizmetlerine duyulan güvenin zedelenmesine neden olabilir. Kurumların yalnızca ana İnternet sitelerini değil, alt alan adlarını, bağlı uygulamalarını, dış hizmet sağlayıcılarını ve İnternete açık tüm ilgili sistemlerini de gözden geçirmesi gerekmektedir.
Sağlık: Hastane ve sağlık kuruluşlarının randevu, hasta iletişimi, laboratuvar sonuçlarına erişim ve diğer dijital hizmetlerinde kullanılan savunmasız sistemler, kişisel ve hassas sağlık verilerinin gizliliği açısından risk yaratabilir. Güvenlik olayları, hizmet sürekliliğini ve sağlık kuruluşlarının operasyonlarını da etkileyebilir.
Finans ve e-ticaret: Ödeme süreçleri, müşteri portalları, sipariş ve üyelik sistemleri ile bunlarla bağlantılı uygulamalarda oluşabilecek bir güvenlik ihlali, müşteri bilgilerinin açığa çıkmasına, işlem süreçlerinin bozulmasına, dolandırıcılık girişimlerine ve ekonomik kayıplara neden olabilir. PHP kullanan bir sistemin varlığı tek başına ödeme altyapısının etkilendiği anlamına gelmese de bağlantılı sistemlerin kapsamlı biçimde incelenmesi gerekir.
Sanayi, Enerji ve Diğer Kritik Altyapılar: Kurumsal yönetim portalları, bakım ve destek sistemleri, tedarik zinciri uygulamaları ve İnternet bağlantılı diğer bileşenlerdeki güvenlik açıkları, daha geniş işletimsel risklere dönüşebilir. Özellikle kritik altyapılarda, bilgi teknolojileri sistemleri ile operasyonel teknoloji ortamlarının birbirinden ayrılması ve erişim sınırlarının korunması önem taşımaktadır.
Eğitim ve Araştırma Kurumları: Öğrenci bilgi sistemleri, uzaktan eğitim platformları, araştırma portalları ve kurumsal web uygulamaları üzerinden kişisel veriler ve kurumsal bilgiler risk altına girebilir.
Özel Sektör ve Hizmet Sağlayıcılar: Barındırma hizmeti veren şirketler, yazılım geliştiriciler, dijital ajanslar ve dış kaynaklı bilişim hizmeti sunan kuruluşlar, aynı anda çok sayıda müşterinin sistemini etkileyebilecek bir riskle karşı karşıya kalabilir. Bu nedenle güvenlik sorumluluğu, son kullanıcı kurumların ötesinde hizmet sağlayıcıların ve yazılım tedarikçilerinin süreçlerine de uzanmaktadır.
Burada dikkat edilmesi gereken şudur: PHP’nin kullanılması, bir sistemin mutlaka saldırıya uğradığı anlamına gelmez. Gerçek risk; kullanılan sürüme, yapılandırmaya, İnternete açıklığa, güvenlik kontrollerine ve sistemin diğer bileşenlerine bağlıdır. Bununla birlikte, kritik düzeydeki bu tür açıklar, istismar gerçekleşmeden önce önlem alınmasını gerektirir.
Yapay Zekâ ve Güvenlik Araştırmalarının Rolü
PHP2Shell açıklarının ortaya çıkarılma süreci, yazılım güvenliği araştırmalarında yapay zekâ destekli araçların artan rolünü de gündeme getirmektedir. Kaynak kodun incelenmesi, karmaşık program akışlarının analiz edilmesi ve hata örüntülerinin belirlenmesi gibi çalışmalarda yapay zekâdan yararlanılabilmektedir. Ancak yapay zekâ destekli keşif, insan uzmanların doğrulamasının ve sorumlu güvenlik araştırması süreçlerinin yerini almamalıdır. Güvenlik açıklarının kontrollü ortamlarda doğrulanması, etkilenen üreticilere koordineli biçimde bildirilmesi, düzeltmelerin hazırlanması ve güvenli güncellemelerin yayımlanması, bu sürecin temel adımlarıdır.
Bu gelişme, yapay zekânın hem savunma hem de saldırı kapasitesini artırabildiğini göstermektedir. Bu nedenle kurumların güvenlik stratejileri, yalnızca bilinen saldırı yöntemlerine karşı koruma sağlamayı değil, yeni açıkların daha hızlı keşfedilebildiği bir ortamda sürekli izleme, güncelleme ve müdahale yeteneklerini geliştirmeyi de kapsamalıdır.
Kurumlar Hangi Önlemleri Almalıdır?
Bilgisayar Mühendisleri Odası olarak kamu kurumlarına, özel sektör kuruluşlarına ve bilişim hizmeti sağlayıcılarına aşağıdaki adımları gecikmeden uygulamalarını öneriyoruz:
1) Etkilenen sistemleri belirleyin. Kurum bünyesinde çalışan tüm PHP kurulumları, web sunucuları, PHP-FPM hizmetleri, kapsayıcılar, sanal makineler, test ve geliştirme ortamları ile dış hizmet sağlayıcılar üzerinden sunulan uygulamalar envanter kapsamına alınmalıdır. Yalnızca ana sunucuların kontrol edilmesi yeterli değildir.
2) Güvenlik güncellemelerini uygulayın. PHP’nin kurumsal güvenlik duyurularında belirtilen, kullanılan sürüm dalına uygun düzeltilmiş sürüme geçilmelidir. Güncelleme sonrasında PHP çalışanları ve ilgili hizmetler gerektiği şekilde yeniden başlatılmalı; düzeltmenin çalışan sistemde gerçekten etkin olduğu doğrulanmalıdır. Güncelleme, yedekleme ve geri dönüş planı bulunan kontrollü bir değişiklik süreciyle yapılmalıdır.
3) Destek dışı sürümleri gözden-elden geçirin. Güvenlik desteği sona ermiş PHP sürümlerini kullanmaya devam etmek, yeni açıklar karşısında kurumu korumasız bırakabilir. Olanaklı olduğunda desteklenen sürümlere geçilmeli; geçiş hemen gerçekleştirilemiyorsa üretici ve dağıtım sağlayıcısının güvenlik düzeltmeleri ile destek durumuna göre geçici risk azaltma önlemleri uygulanmalıdır. Yalnızca sürüm numarasına bakılarak düzeltmenin varlığı/yapıldığı varsayılmamalıdır.
4) Geçici risk azaltma önlemleri uygulayın. Güncellemenin hemen yapılamadığı durumlarda, etkilenen hizmetlerin İnternete erişimi sınırlandırılmalı; gereksiz servisler kapatılmalı, ağ erişim kuralları daraltılmalı ve uygun durumlarda hizmet geçici olarak devre dışı bırakılmalıdır. Web uygulaması güvenlik duvarı ve saldırı tespit sistemleri ek koruma sağlayabilir; ancak bu önlemler güvenlik yamasının yerini tutmaz.
5) Saldırı belirtilerini araştırın. Web sunucusu, PHP, sistem ve ağ günlükleri (log) incelenmeli; beklenmeyen süreçler, olağandışı dış bağlantılar, yeni ya da değiştirilmiş dosyalar, yetkisiz hesaplar ve açıklanamayan hizmet kesintileri araştırılmalıdır. Saldırı kuşkusu varsa yalnızca güncelleme yapmakla yetinilmemeli; olay müdahalesi, delillerin korunması, erişim bilgilerinin güvenli biçimde yenilenmesi ve olası veri ihlalinin kapsamının belirlenmesi süreçleri başlatılmalıdır.
6) Kurumsal sorumlulukları ve eşgüdümü güçlendirin. Bilgi işlem, siber güvenlik, kişisel verilerin korunması, iş sürekliliği ve tedarik yönetimi birimleri eşgüdüm içinde birlikte hareket etmelidir. Kurumlar hizmet aldıkları sağlayıcılardan etkilenen bileşenler ve uygulanan düzeltmeler hakkında doğrulanabilir bilgi istemeli; olayların bildirilmesine ilişkin yürürlükteki yükümlülükleri yerine getirmelidir.
Güvenlik Sınaması Nasıl Yapılmalıdır?
Kurumların bu tür açıklıklara karşı güvenliğini değerlendirmesi, tek başına bir İnternet sitesinin açılıp açılmadığını kontrol etmekten ibaret değildir. Güvenlik sınaması, yetkili ve kayıt altına alınmış bir süreçle aşağıdaki aşamaları kapsamalıdır:
• Envanter ve sürüm doğrulaması: Sunucularda çalışan PHP sürümleri, paket kaynakları, derleme bilgileri ve üretim ortamındaki gerçek çalışma yapılandırması belirlenmelidir. Komut satırında görülen PHP sürümünün, web sunucusunun kullandığı sürümle aynı olduğu varsayılmamalıdır.
• Üretici duyurularıyla karşılaştırma: Her kurulumun sürümü ve yama durumu, kurumsal PHP güvenlik duyuruları ile kullanılan işletim sistemi ya da barındırma sağlayıcısının güvenlik bildirimlerine göre kontrol edilmelidir.
• Güvenli doğrulama: Yetkili güvenlik takımları, üretim sistemlerini ve canlı uygulamaları tehlikeye atmadan önce yalıtılmış sınama ortamlarında doğrulama yapmalı; gerekli durumlarda güvenilir güvenlik tarama araçlarını kullanmalıdır. Uzaktan kod çalıştırmayı hedefleyen istismar denemeleri, açık izin ve uygun güvenlik önlemleri olmaksızın gerçek sistemlerde gerçekleştirilmemelidir.
• Yama sonrası kontrol: Güncellemenin doğru bileşene uygulandığı, çalışan PHP süreçlerinin yeni sürümü kullandığı ve ilgili hizmetlerin beklenen biçimde çalıştığı doğrulanmalıdır.
• Sürekli izleme: Günlükler (log), ağ trafiği, dosya bütünlüğü ve beklenmeyen süreçler izlenmeli; yeni güvenlik duyuruları ve tedarikçi bildirimleri takip edilmelidir.
Bir sürüm denetimi ya da güvenlik taramasının olumlu sonuç vermesi, sistemin bütünüyle güvenli olduğunu kanıtlamaz. Benzer şekilde, bir İnternet sitesinin olağan biçimde çalışması da güvenlik açığından etkilenmediğini göstermez. En güvenilir yaklaşım, sürüm ve yama doğrulamasını, yapılandırma incelemesi, güvenlik izleme ve gerektiğinde uzmanlarca yürütülen yetkili sınamalarla birleştirmektir.
Kamu Kurumlarına ve Karar Vericilere Çağrımız
Kamu bilişim sistemlerinin ve dijital kamu hizmetlerinin güvenliği, yalnızca bilgi işlem birimlerinin teknik sorumluluğu olarak ele alınamaz. Kurumların yöneticileri, bir kurumun güvenlik güncellemelerinin uygulanmasını sağlayacak insan kaynağına, bütçeye ve iş süreçlerine sahip olmasını güvence altına almalıdır.
Kamu kurumlarında ve kritik hizmet sunan kuruluşlarda düzenli yazılım envanteri tutulması, güvenlik güncellemelerinin izlenmesi, destek dışı bileşenlerin belirlenmesi ve tedarik zinciri risklerinin yönetilmesi kurumsal bir zorunluluk olarak değerlendirilmelidir. Güvenlik olaylarına ilişkin kurumlar arası eşgüdüm ile kamuoyunun sürekli ve doğru bilgilendirilmesi de bu yaklaşımın ayrılmaz parçalarıdır.
Açık kaynaklı yazılımların yaygın kullanımı, bir güvenlik sorunu değildir. Aksine, bu yazılımların saydam biçimde incelenebilmesi ve geniş bir uzman topluluğu tarafından geliştirilebilmesi önemli avantajlar sağlar. Bu avantajların sürdürülebilmesi, topluluk kanallarının takip edilmesine, güncellemelerin zamanında uygulanmasına ve bakım süreçlerinin kurumsal olarak sahiplenilmesine bağlıdır.
Yurttaşlara Önerilerimiz
Yurttaşların PHP sürümünü doğrudan kontrol etmesi genellikle olanaklı değildir; bu sorumluluk ilgili sistemin işletmecisine aittir. Bununla birlikte yurttaşlar, kullandıkları dijital hizmetlerin güvenliği konusunda kurumların ve hizmet sağlayıcıların bilgilendirmelerini takip edebilir, kuşkulu bağlantılardan kaçınabilir. Farklı hizmetlerde aynı parolanın kullanılmaması ve çok adımlı (faktörlü) kimlik doğrulama sunulan hesaplarda bu özelliğin etkinleştirilmesi de alınması gereken önlemler arasındadır.
Bir hizmetin güvenliğine ilişkin kuşku doğduğunda, kurumun resmi iletişim kanallarından bilgi alınmalıdır. Kişisel bilgiler ve kimlik doğrulama verileri, doğrulanmamış İnternet sayfalarıyla paylaşılmamalıdır. Öte yandan yurttaşların alabileceği bireysel önlemler, hizmet sağlayıcıların sistemlerini güvenli tutma sorumluluğunu ortadan kaldırmaz.
Sonuç
PHP2Shell güvenlik açıkları, bilişim uygulamalarının ve dijital sistemlerin güvenliğinin yalnızca yazılım geliştiricilerin değil, tüm kamu kurumlarının, özel sektör kuruluşlarının, hizmet sağlayıcıların ve karar vericilerin ortak sorumluluğu olduğunu bir kez daha ortaya koymaktadır.
Bilgisayar Mühendisleri Odası olarak etkilenen sistemlerin gecikmeden belirlenmesi, üretici tarafından yayımlanan güvenlik düzeltmelerinin uygulanması, destek dışı yazılımların kullanımının sonlandırılması ve güvenlik sınamalarının düzenli biçimde yerine getirilmesinin zorunluluğunu önemle vurguluyoruz.
Güvenli bilişim sistemleri ve dijital altyapılar, kamusal hizmetlerin sürekliliği, kişisel verilerin korunması, ekonomik güven ve toplumun dijital yaşama duyduğu güvenin temel koşullarından biridir. Toplumsal ve ekonomik etkileri göz önünde bulundurulduğunda siber güvenlik, yalnızca teknik bir önlem olarak değerlendirilemez; bunun çok ötesinde bir kamusal sorumluluk ve toplumsal yarar konusudur.
Bilgisayar Mühendisleri Odası 8. Dönem Yönetim Kurulu