Avrupa’da devletlere siteleri erişime kapattıran güvenlik açığı

PHP programlama dilinde belirlenen iki kritik güvenlik açığı, dünya genelinde internet sitesi yöneticilerini harekete geçirdi. Uygun koşullarda saldırganların kimlik doğrulaması yapmadan sunucularda kod çalıştırmasına imkân verebilen açıklar için 21 Ekim 2026’da güvenlik güncellemeleri yayımlandı. PHP Vakfı, kullanıcıları sistemlerini hemen güncellemeye çağırdı.

Avrupa Birliği kurumlarının siber güvenlik ekibi CERT-EU, etkilenen sistemlere yamaların derhal uygulanmasını istedi. Güncellemenin mümkün olmadığı durumlarda, internete açık uygulamaların düzeltme uygulanıp doğrulanana kadar kamuya açık ağlardan ayrılmasının değerlendirilmesini önerdi.

Avrupa’da siteler tedbiren kapatıldı

Güvenlik riski nedeniyle Avrupa’da bazı kamu, eğitim ve sağlık kuruluşlarının internet siteleri geçici olarak erişime kapatıldı. Reuters’ın haberine göre Hollanda, Almanya, Fransa, Belçika ve Finlandiya’da çeşitli kuruluşlar, olası saldırılara karşı önlem aldı. Kapatmalar, güvenlik güncellemeleri uygulanırken sistemleri korumak amacıyla gerçekleştirildi.

Birleşik Krallık Ulusal Siber Güvenlik Merkezi de kuruluşlara PHP kullanan sistemlerini belirleme, güncellemeleri uygulama ve şüpheli faaliyetleri izleme çağrısında bulundu. Merkez, güncelleme veya geçici önlemler uygulanamıyorsa sistemlerin çevrimdışına alınmasının değerlendirilmesini istedi.

Sunucularda kod çalıştırma riski

CVE-2026-109618 ve CVE-2026-109619 numaralarıyla kaydedilen açıkların her biri, CVSS v4.0 ölçeğinde 10 üzerinden 9,2 puanla “kritik” olarak sınıflandırıldı. Bellek yönetimindeki sorunlardan kaynaklanan açıklar, belirli koşullarda saldırganların sunucuda uzaktan kod çalıştırmasına yol açabiliyor.

PHP Vakfı, açıkların kimlik doğrulaması gerektirmeden kullanılabildiğini bildirdi. Bu durum, saldırganın hedef sunucuda kod çalıştırabilmek için önceden bir kullanıcı hesabına sahip olmasının gerekmeyebileceği anlamına geliyor.

WordPress güncellemesi tek başına yetmiyor

PHP üzerinde çalışan WordPress siteleri de güvenlik uyarısının kapsamında bulunuyor. WordPress’in resmî duyurusunda, PHP’deki iki kritik açığı gideren güvenlik sürümüne dikkat çekildi.

WordPress güvenlik şirketi Wordfence ise düzeltmenin WordPress güncellemeleri aracılığıyla gelmeyeceğini vurguladı. Site sahiplerinin kullanılan PHP sürümünü kontrol etmesi ve güncellemeyi hosting sağlayıcısının mı yoksa kendi teknik ekibinin mi uygulayacağını belirlemesi gerekiyor.

Dört güvenli sürüm yayımlandı

PHP ekibinin 21 Ekim’de yayımladığı düzeltmeler şu sürümlerde yer alıyor:

* PHP 8.5.12
* PHP 8.4.27
* PHP 8.3.36
* PHP 8.2.35

PHP Vakfı, PHP çalıştıran sistemlerin bu güvenlik güncellemelerini vakit kaybetmeden alması gerektiğini bildirdi.

CERT-EU’ya göre PHP 8.1 ve daha eski sürümler de risk kapsamında bulunuyor; ancak bu sürümler artık PHP projesinden güncelleme almıyor. Kurum, geçici önlemlerin yalnızca belirli saldırı yollarına karşı riski azaltabileceğini, açıkların tamamen giderilmesi için güncelleme gerektiğini belirtti.