Küresel PHP Krizi İnterneti Vurdu: Yapay Zekanın Keşfettiği Güvenlik Açıkları Nedeniyle Web Siteleri Kapatılıyor
Dünya genelindeki web sitelerinin yaklaşık yüzde 70'ine güç veren PHP programlama dilinde yapay zeka araçlarıyla tespit edilen kritik uzaktan kod yürütme (RCE) açıkları küresel çapta siber güvenlik alarmına neden oldu. FBI, NSA ve ulusal siber güvenlik merkezlerinin acil uyarıları sonrasında birçok ülkede kamu kurumları ve dijital hizmet portalları yamalar uygulanana kadar geçici olarak çevrim dışı bırakıldı.
Küresel internet altyapısının en temel yapı taşlarından biri olan PHP programlama dilinde tespit edilen kritik güvenlik açıkları, dünya genelinde eşi benzeri az görülen bir siber güvenlik alarmına yol açtı. İnternet üzerindeki aktif web sitelerinin ve içerik yönetim sistemlerinin yaklaşık yüzde 70'ine güç veren PHP çekirdeğinde ortaya çıkarılan zafiyetler, uluslararası istihbarat ve güvenlik kurumlarını acil koduyla harekete geçirdi. Güvenlik yamalarını anında devreye alamayan çok sayıda kamu kurumu, bakanlık, yerel yönetim ve kritik dijital hizmet platformu, olası siber saldırıların önüne geçmek amacıyla web sitelerini geçici olarak erişime kapatma kararı aldı.
Yaşanan bu kriz, yalnızca etkilediği sistemlerin devasa ölçeğiyle değil, aynı zamanda güvenlik açıklarının keşfedilme yöntemiyle de siber güvenlik tarihinde yeni bir dönüm noktasına işaret ediyor. On yılı aşkın süredir PHP'nin temel kod tabanında gizlenen ve geleneksel kod denetimlerinden kaçmayı başaran bu karmaşık hatalar, gelişmiş yapay zeka destekli güvenlik tarama modelleri tarafından gün yüzüne çıkarıldı.
Yapay Zeka On Yıllık Kod Hatalarını Nasıl Keşfetti?
Siber güvenlik araştırma firmaları Calif ve Wiz bünyesinde çalışan uzmanların yürüttüğü kapsamlı çalışmalar, ileri düzey yapay zeka modellerinin karmaşık yazılım mimarilerindeki derin mantık ve bellek hatalarını bulma konusunda ulaştığı seviyeyi gözler önüne serdi. İnsan araştırmacıların ve standart statik analiz araçlarının yıllardır fark edemediği PHP çekirdek zafiyetleri, büyük dil modelleri ve otonom kod analizi ajanlarının kaynak kodunu derinlemesine incelemesi sonucunda tespit edildi.
Araştırma sürecinde kullanılan yapay zeka araçları, yalnızca potansiyel hata noktalarını işaretlemekle kalmadı; aynı zamanda bu zafiyetlerin hangi koşullar altında tetiklenebileceğini ve nasıl istismar edilebileceğini (exploit) simüle ederek doğruladı. Siber güvenlik dünyasında hem savunma hem de saldırı süreçlerinin yapay zeka ile ne kadar hızlandığını kanıtlayan bu gelişme, açık kaynaklı kritik altyapı yazılımlarının güvenliği konusundaki tartışmaları yeniden alevlendirdi.
CVE-2026-109618 ve CVE-2026-109619 Açıklarının Teknik Detayları
Yapay zeka destekli analizler sonucunda resmi olarak kayıt altına alınan iki ana zafiyet, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlandı. Sektör içinde PHP2Shell benzeri isimlerle de anılmaya başlanan bu güvenlik açıkları, CVSS v4.0 kritiklik ölçeğinde 9.2 gibi son derece yüksek bir risk puanına sahip.
Bu iki kritik zafiyetin sistem yöneticileri ve yazılım geliştiriciler açısından oluşturduğu başlıca tehditler şunlardır:
- Uzaktan Kod Yürütme (Remote Code Execution - RCE): Saldırganlar, özel olarak hazırlanmış HTTP istekleri aracılığıyla hedef sunucuda herhangi bir kimlik doğrulamasına ihtiyaç duymadan doğrudan sistem komutları çalıştırabiliyor.
- Tam Sunucu Hakimiyeti ve Veri İhlali: Açığın başarıyla istismar edilmesi durumunda kötü niyetli aktörler sunucu üzerindeki hassas veritabanlarına erişebiliyor, sistem dosyalarını değiştirebiliyor ve arka kapı (backdoor) yazılımları yerleştirerek kalıcı erişim sağlayabiliyor.
- Geniş Etkilenme Yüzeyi: Standart yapılandırmalarda dahi tetiklenebilen bellek işleme ve girdi doğrulama kusurları, eski sürümlerden güncel PHP dallarına kadar geniş bir yelpazeyi doğrudan tehdit ediyor.
FBI ve NSA Uyardı: Yamayı Kuramıyorsanız Çevrim Dışı Kalın
Tehdidin boyutunun anlaşılmasının ardından ABD Federal Soruşturma Bürosu (FBI), Ulusal Güvenlik Ajansı (NSA) ve Avrupa'daki ulusal siber güvenlik merkezleri peşi sıra acil durum bültenleri yayımladı. Güvenlik otoriteleri, söz konusu açıkların siber suç örgütleri ve devlet destekli tehdit grupları tarafından otomatik tarama botlarıyla hızla silahlandırılabileceği konusunda uyarıda bulundu.
Yetkililerin yayımladığı deklarasyonlarda en dikkat çekici madde ise acil eylem çağrısı oldu. Sistem mimarisi, eski eklenti bağımlılıkları veya operasyonel süreçler nedeniyle acil güvenlik yamalarını hemen uygulayamayan kurumlara, sunucularını yamalar tamamlanana kadar geçici olarak tamamen çevrim dışı bırakmaları (fişi çekmeleri) tavsiye edildi. Bir siber saldırıya maruz kalarak veri sızıntısı veya fidye yazılımı felaketi yaşamaktansa, birkaç saat veya gün boyunca kontrollü kesinti uygulamanın çok daha güvenli bir tercih olduğu vurgulandı.
Anthropic Claude Fable 5.1 ve Mythos 5.1 Duyuruldu: Daha Akıllı, Yüzde 45 Daha Ucuz
ABD’den DeepSeek’e Tam Yasak: Kamu Kurumları ve Üçüncü Taraf Hizmetler Kapsamda
Avrupa'dan Asya'ya Çok Sayıda Kamu Sitesi Askıya Alındı
Uluslararası güvenlik birimlerinin bu sert uyarısı, küresel ölçekte hızlı bir domino etkisi yarattı. Başta Fransa, Almanya, Hollanda, Finlandiya ve Japonya olmak üzere birçok ülkede bakanlık portalları, emniyet teşkilatı bilgilendirme sayfaları, liman ve havalimanı lojistik sistemleri ile yerel belediye siteleri peş peşe erişime kapatıldı.
Kullanıcıların bu platformlara girmeye çalıştığında karşılaştığı bakım ve erişim engeli ekranları ilk etapta küresel bir siber saldırı paniği yaratsa da, resmi makamlar durumu hızla açıklığa kavuşturdu. Yapılan resmi açıklamalarda, erişim kesintilerinin başarılı bir siber saldırı sonucu gerçekleşmediği; tamamen önleyici tedbir ve güvenli yama geçişi kapsamında sistemlerin geçici olarak izole edildiği belirtildi.
Türkiye'de Siber Güvenlik Başkanlığı Harekete Geçti
Dünya genelinde yankı uyandıran PHP krizinin ardından Türkiye'de de ulusal siber güvenlik mekanizmaları hızla devreye girdi. Siber Güvenlik Başkanlığı ve ilgili koordinasyon birimleri, kamu kurumları ile kritik altyapı işletmelerine yönelik ulusal düzeyde bir güvenlik uyarısı yayımladı.
Türkiye genelindeki kamu sunucuları ve kurumsal web altyapıları için kapsamlı zafiyet taramaları başlatılırken, bilgi işlem merkezlerine acil kodlu bildirimler gönderildi. Sistem yöneticilerinden envanterlerindeki tüm PHP tabanlı uygulamaları gözden geçirmeleri, dış dünyaya açık sunucularda gerekli izolasyon adımlarını atmaları ve resmi güvenlik güncellemelerini vakit kaybetmeden tamamlamaları istendi.
Çözüm ve Alınması Gereken Acil Önlemler
Krizin patlak vermesiyle birlikte PHP geliştirici topluluğu ve PHP Vakfı, zafiyetleri gideren güvenlik güncellemelerini hızlıca kullanıma sundu. Geliştiricilerin ve sistem yöneticilerinin sunucularını güvence altına almak için PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 ve ilgili güvenli yamaları içeren en son kararlı sürümlere derhal geçiş yapması gerekiyor.
Güncelleme işleminin yanı sıra siber güvenlik uzmanları şu adımların eksiksiz uygulanmasını öneriyor:
- Sunucu Loglarının İncelenmesi: Web sunucusu erişim ve hata kayıtları (
access.logveerror.log), olağan dışı HTTP istekleri, şüpheli parametre dizilimleri ve beklenmedik alt süreç (process) çalıştırma girişimleri açısından geriye dönük olarak taranmalıdır. - Web Uygulama Güvenlik Duvarı (WAF) Kuralları: Bulut tabanlı veya yerel WAF çözümlerinde CVE-2026-109618 ve CVE-2026-109619 istismar imzalarını engelleyen sanal yama (virtual patching) kuralları aktif hale getirilmelidir.
- Dosya Bütünlüğü Kontrolü: Yama öncesinde sunucunun internete açık kaldığı süre zarfında herhangi bir yetkisiz dosya yüklemesi veya yapılandırma değişikliği yapılıp yapılmadığı mutlaka doğrulanmalıdır.
Yapay zekanın on yıllık gizli kod kusurlarını dakikalar içinde bulabildiği bu yeni çağda, yazılım güncelleme süreçlerini ertelemek artık kabul edilebilir bir risk olmaktan çıkmış durumda. Küresel PHP krizi, modern internet dünyasında proaktif yama yönetiminin ve sıfır güven (Zero Trust) mimarisinin ne kadar hayati olduğunu bir kez daha kanıtlıyor.
