21 Ekim 2026'da Avrupa'da alışılmadık bir şey oldu: Hollanda'nın resmi devlet portalı, Finlandiya'nın kamu web hizmetleri ve Fransa'daki valilik siteleri kendi istekleriyle kapatıldı. Kapatmaların büyük kısmı bir saldırı yüzünden değil, önlem amacıyla yapıldı.
Sebep, PHP2Shell adı verilen iki güvenlik açığıydı. Ve bu açık, büyük ihtimalle sizin web sitenizi çalıştıran yazılımda bulundu.
Konu yalnızca Avrupa'yı ilgilendirmiyor. Aynı günlerde KKTC'de de önlem alındı: Lefkoşa Türk Belediyesi web sitesini geçici olarak bakıma aldı.
Bu yazıda, teknik bilgi gerektirmeden ne olduğunu, sitenizi etkileyip etkilemediğini ve Kuzey Kıbrıs'taki bir işletme olarak şimdi ne yapmanız gerektiğini anlatıyoruz.
PHP nedir ve neden bu kadar önemli?
Bir web sitesini restoran gibi düşünün. Ziyaretçi bir sayfa istediğinde sipariş vermiş olur. PHP mutfaktaki aşçıdır: siparişi alır, veritabanından malzemeyi getirir ve sayfayı hazırlayıp masaya gönderir.
Bu aşçı internetin büyük bölümünde çalışıyor. Bağımsız ölçümlere göre, sunucu tarafında hangi dil kullandığı bilinen web sitelerinin yaklaşık %70'i PHP ile çalışıyor. WordPress, WooCommerce, Joomla, Drupal ve Laravel ile yapılmış siteler bunun içinde.
Yani bu bir "bazı siteleri ilgilendiren" sorun değil. Kurumsal tanıtım sitelerinden e-ticarete kadar internetin büyük kısmını ilgilendiriyor.
PHP2Shell açığı neye izin veriyor?
Restoran benzetmesiyle devam edelim. Bu açık, dışarıdan gelen birinin özel olarak hazırlanmış bir siparişle aşçının kafasını karıştırması ve mutfağın kontrolünü ele geçirmesi gibi.
Teknik adıyla buna "uzaktan kod çalıştırma" deniyor. Pratikte anlamı şu:
- Saldırganın şifre bilmesine ya da giriş yapmasına gerek yok
- Sunucuda kendi komutlarını çalıştırabiliyor
- Sitenizdeki dosyalara, müşteri bilgilerine ve veritabanı şifrelerine ulaşabiliyor
PHP geliştiricileri iki açığı da 10 üzerinden 9,2 puanla "kritik" olarak sınıflandırdı. Bu, güvenlik dünyasında en üst seviyeye yakın bir derece.
Ne zaman, nasıl ortaya çıktı?
Olaylar hızlı gelişti:
- 20 Ekim: PHP ekibi, ertesi gün kritik bir güvenlik güncellemesi yayımlayacağını önceden duyurdu ve herkese hazırlıklı olmasını söyledi.
- Duyurudan önce: Açığın ayrıntıları resmi açıklamadan önce internete sızdı. Bu, saldırganlara da hazırlanma fırsatı verdi.
- 21 Ekim: Düzeltilmiş PHP sürümleri yayımlandı.
Amazon'un güvenlik ekibi, açığı kullanma girişimlerini duyurudan dört gün önce, 17 Ekim'de gördüğünü açıkladı. Cloudflare de ilk saldırıların başladığını bildirdi. Öte yandan ABD'nin siber güvenlik ajansı CISA, 21 Ekim itibarıyla kendi tarafında bir istismar görmediğini belirtti. Tablo hâlâ netleşiyor, ancak riskin gerçek olduğu konusunda uzmanlar hemfikir.
Dünya nasıl tepki verdi?
Reuters'ın derlediğine göre, 21 ve 22 Ekim'de pek çok kurum sitelerini geçici olarak kapattı:
- Hollanda: Devlet portalı Overheid.nl, Rotterdam Limanı, Hollanda Futbol Federasyonu ve çok sayıda hastane sitesi
- Finlandiya: Devlet bilişim merkezi Valtori, kamu web hizmetlerini kapattı ve herhangi bir saldırı girişimi görmediğini, bunun önlem olduğunu açıkladı
- Fransa: İçişleri Bakanlığı valilik sitelerini geçici olarak kapattı
- Almanya, Belçika ve Çekya: Çeşitli bakanlık ve hükümet siteleri
- Japonya: Maliye Bakanlığı ve Meteoroloji Ajansı bazı hizmetlerini durdurdu; büyük finans kuruluşları, bir havayolu ve bir demiryolu şirketi bazı internet hizmetlerini askıya aldı
- Diğerleri: BBC'nin bazı portalları, Wikipedia'nın arkasındaki Wikimedia Vakfı'nın bazı sistemleri ve Internet Archive
ABD'de CISA ve FBI, İngiltere'de ise Ulusal Siber Güvenlik Merkezi aynı tavsiyeyi verdi: Hemen güncelleyin. Güncelleyemiyorsanız, güncelleyene kadar sistemi kapatmayı düşünün.
Bu kapatmaların çoğu saldırı nedeniyle değil, kapı kilidi değişene kadar kapıyı kapalı tutmak mantığıyla yapıldı.
KKTC'de de önlem alındı
Lefkoşa Türk Belediyesi'nin web sitesi 22 Ekim'de geçici olarak erişime kapalıydı. Sitede yayımlanan bakım duyurusunda, kapatmanın sebebi "dünya genelinde web sitelerini etkileyen ciddi bir güvenlik sorunu" olarak açıklanıyor ve ekibin güvenlik güncellemeleri üzerinde çalıştığı belirtiliyor.
Duyuruda açığın adı geçmiyor, ancak zamanlama PHP2Shell ile örtüşüyor. Bu, sitenin saldırıya uğradığı anlamına gelmiyor. Tam tersine, doğru ve sorumlu bir adım. Bir sistemin güncellendiğinden emin olamadığınız anda yapılacak en güvenli şey, güncelleme tamamlanana kadar onu dışarıya kapatmaktır. Avrupa'daki devlet kurumları da aynısını yaptı.
Kuzey Kıbrıs'taki işletmeler için çıkarılacak ders basit: Bu açık uzak bir ülkenin sorunu değil. Buradaki siteler de aynı altyapıyı kullanıyor.
Web siteniz etkileniyor mu?
Şu sorulara bakın:
- Siteniz WordPress, WooCommerce, Joomla, Drupal veya Laravel ile mi yapıldı?
- Siteniz paylaşımlı bir hosting paketinde mi duruyor? (Kuzey Kıbrıs'taki işletme sitelerinin çoğu böyledir.)
- Sitenizde iletişim formu, üyelik ya da online satış var mı?
Bunlardan birine "evet" diyorsanız, sitenizin PHP kullanma ihtimali çok yüksek. Bu, sitenizin saldırıya uğradığı anlamına gelmiyor. Ama sunucunuzdaki PHP güncellenene kadar risk altında olduğu anlamına geliyor.
Açığı kapatan resmi PHP sürümleri şunlar: 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Açıkların resmi kodları CVE-2026-109618 ve CVE-2026-109619.
PHP 8.1 ve daha eski sürümler artık resmi olarak güncellenmiyor. Siteniz eski bir sürümdeyse, daha yeni bir sürüme geçmek gerekiyor.
Şimdi ne yapmalısınız?
İyi haber şu: Çoğu işletme için çözüm, sizin değil hosting firmanızın yapacağı bir güncelleme. Sizin yapmanız gerekenler:
- Hosting firmanıza yazın ve doğrudan sorun: "Sunucunuzdaki PHP, CVE-2026-109618 ve CVE-2026-109619 için yamalandı mı?" Net bir "evet" ve tarih alın.
- Sürüm numarasına bakarak karar vermeyin. Bazı hosting altyapıları düzeltmeyi mevcut sürümün içine ekliyor. Sürüm numarası değişmese de açık kapanmış olabilir, tersi de mümkün. Kesin cevabı yalnızca hosting firmanız verebilir.
- Sitenizin yedeğini alın. Dosyaları ve veritabanını ayrı ayrı yedekleyin ve bilgisayarınızda saklayın.
- WordPress ve eklentilerinizi güncelleyin. Bu, PHP2Shell'i tek başına kapatmaz; ama saldırganlar genellikle birden fazla açığı birlikte dener.
- Tanımadığınız şeylere dikkat edin: Yönetim panelinde bilmediğiniz bir kullanıcı, sunucuda adını bilmediğiniz bir dosya ya da sitenizde size ait olmayan bir sayfa görürseniz hemen bir uzmana danışın.
- Şifrelerinizi değiştirin. Özellikle yönetim paneli ve hosting şifrelerini. Bir saldırgan sunucuya girdiyse eski şifreleri öğrenmiş olabilir.
Sık sorulan sorular
PHP2Shell nedir?
PHP2Shell, PHP programlama dilinde 21 Ekim 2026'da düzeltilen iki kritik güvenlik açığına verilen ortak isimdir. Bu açıklar, bir saldırganın giriş yapmadan sunucuda komut çalıştırmasına izin verebilir.
Sitem WordPress ile yapıldı. Etkilenir miyim?
WordPress PHP ile çalıştığı için risk grubundasınız. Ancak sorunun kaynağı WordPress değil, sunucudaki PHP. Bu yüzden asıl güncellemeyi hosting firmanızın yapması gerekiyor.
Sitemin saldırıya uğrayıp uğramadığını nasıl anlarım?
Her zaman kolay değil. İyi yapılmış bir saldırı fark edilmeyebilir. Panelde tanımadığınız kullanıcılar, siteye eklenmiş garip sayfalar ya da Google'da sitenizle ilgisiz arama sonuçları önemli işaretlerdir. Şüpheniz varsa profesyonel bir kontrol yaptırın.
Güncellemeyi ben mi yapmalıyım?
Paylaşımlı hosting kullanıyorsanız hayır. PHP'yi hosting firması günceller. Kendi sunucunuz varsa, güncellemeyi sizin ya da teknik ekibinizin hemen yapması gerekir.
Özetle
PHP2Shell, internetin en yaygın altyapılarından birindeki ciddi bir açık. Devletlerin sitelerini kapatması korkutucu görünebilir, ancak bu adımlar büyük ölçüde önlem amaçlıydı. Panik yapmanıza gerek yok, harekete geçmeniz yeterli.
Hosting firmanıza sorun, yedeğinizi alın, güncellemeleri yapın.
Sitenizin durumundan emin değilseniz ya da hosting firmanızdan net bir cevap alamıyorsanız, bize ulaşın. 40 yıldır Kuzey Kıbrıs'taki işletmelerin bilişim altyapısıyla ilgileniyoruz. Sitenizin bu açıktan etkilenip etkilenmediğine birlikte bakalım.
Kaynaklar
Bir sorunuz mu var?
Bu konuda size nasıl yardımcı olabileceğimizi konuşalım.
