Siber Güvenlik Başkanlığı, PHP programlama dilini etkileyen ve uzaktan kod çalıştırılmasına olanak tanıyabilecek iki kritik güvenlik zafiyetine ilişkin uyarıda bulundu. Söz konusu açıkların, PHP tabanlı uygulamalarda yetkisiz erişim ve veri güvenliği açısından risk oluşturabileceği belirtildi.
Açık kaynaklarda yer alan bilgilere göre, güvenlik araştırmacıları tarafından “php2shell” olarak adlandırılan iki kritik güvenlik açığı tespit edildi. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlanan zafiyetlere ilişkin ayrıntıların, PHP güvenlik ekibinin yayımlaması beklenen resmi güvenlik duyurusuyla netleşeceği bildirildi.
Yetkisiz kod çalıştırılması riski bulunuyor
Başkanlığın açıklamasına göre, söz konusu zafiyetlerin başarılı şekilde istismar edilmesi halinde PHP tabanlı uygulamaların çalıştığı sistemlerde yetkisiz kod çalıştırılması mümkün olabilecek.
Bu durumda, uygulamanın sahip olduğu yetkiler kapsamında sistem kaynaklarına erişim sağlanabileceği belirtilirken, güvenlik açıklarının uygulama verilerinin gizliliği ve bütünlüğünün yanı sıra hizmetlerin sürekliliğini de olumsuz etkileyebileceği değerlendiriliyor.
Kurum ve kuruluşlara güvenlik önlemi çağrısı
Siber Güvenlik Başkanlığı, PHP tabanlı uygulamaların güvenliğinin korunması amacıyla kurum ve kuruluşların alması gereken önlemleri de sıraladı.
Buna göre, PHP güvenlik ekibinin resmi güncellemesini yayımlamasının ardından öncelikle zafiyetlerden etkilenen sistemlerin belirlenmesi gerekiyor. Ardından bu sistemlerin, üretici tarafından sağlanan güvenli sürümlere gecikmeden yükseltilmesi öneriliyor.
Ayrıca yönetim arayüzleri ile kritik PHP servislerine dışarıdan erişimin, güvenlik duvarı (Firewall/ACL) kuralları kullanılarak yalnızca güvenilir ve yetkilendirilmiş IP adresleriyle sınırlandırılması gerektiği vurgulandı.
Başkanlık, yurt dışından erişim gereksinimi bulunmayan sistemlerin de vakit kaybedilmeden uluslararası trafiğe kapatılması gerektiğini bildirdi.
