PHP programlama dilinde tespit edilen iki kritik güvenlik açığı nedeniyle Fransa, Finlandiya ve Hollanda’da kamuya ait bazı dijital hizmetlere geçici erişim kısıtlaması getirildi. Avrupa Birliği’nin siber güvenlik kurumu, güncellemeleri uygulayamayan internet sitelerinin geçici olarak çevrim dışına alınmasını tavsiye etti.
Fransa İçişleri Bakanlığı, ulusal siber güvenlik ajansı ANSSI’nin talebi üzerine valiliklerin internet sitelerini geçici olarak kapattı. Siteler erişime kapalı kalırken yetkililer, acil duyuru ve talimatların kurumların sosyal medya hesaplarından takip edilmesini istedi. Bakanlık ekiplerinin güncellemeleri en kısa sürede tamamlamak için çalıştığını açıkladı.
Finlandiya Devlet Bilgi ve İletişim Teknolojileri Merkezi Valtori, PHP açıklarına karşı tedbir olarak çarşamba günü saat 12.45’te bazı kamu sektörü internet hizmetlerini geçici olarak kapatmaya başladı. Hollanda’nın ulusal siber güvenlik ajansı da kendi internet sitesini geçici olarak erişime kapattı. Ajans, açıkların aktif olarak istismar edildiğine dair kanıt bulunmadığını bildirdi.
Güvenlik araştırmacılarının PHP2Shell adını verdiği CVE-2026-109618 ve CVE-2026-109619 kodlu açıkların risk puanı 10 üzerinden 9,2 oldu. Açıkların, savunmasız sunucularda uzaktan kod çalıştırılmasına imkan verebileceği; uygulama verilerine erişim ve hizmet kesintilerine yol açabileceği belirtildi. Açıkların tespitinde güvenlik şirketi Calif’in yapay zeka araçlarından yararlanıldı.
Siber Güvenlik Başkanlığı, 21 Ekim 2026’da TR-26-1372 numaralı “PHP Programlama Dili Güvenlik Bildirimi”ni yayımladı. Başkanlık, Türkiye genelinde olası riskleri belirlemek için önleyici güvenlik taramaları başlatıldığını açıkladı. Kurum ve kuruluşlardan PHP tabanlı uygulamalarını kontrol etmeleri, güvenlik güncellemelerini yüklemeleri ve kritik sistemlere dış erişimi sınırlamaları istendi.
PHP geliştiricileri 21 Ekim’de olağan takvim dışı güvenlik güncellemeleri yayımladı. Açıkların giderildiği sürümler PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 olarak açıklandı. Siber Güvenlik Başkanlığı, yönetim arayüzleri ile kritik servislere erişimin güvenilir IP adresleriyle sınırlandırılmasını, yurt dışından erişim gerektirmeyen sistemlerin uluslararası trafiğe kapatılmasını önerdi.
