PHP'deki Kritik Güvenlik Açığı Riski! Prof. Dr. Burhan Pektaş'tan "PHP2Shell" Uyarısı

İnternet altyapısında yaygın olarak kullanılan PHP yazılımında tespit edilen ve "PHP2Shell" olarak adlandırılan kritik güvenlik açıkları, dijital hizmetlerin sürekliliği ve kişisel verilerin korunması açısından büyük risk oluşturuyor. Uzmanlar; e-ticaret, kamu, bankacılık ve sağlık sistemlerini işleten kurumları acil güncelleme ve güvenlik tedbirleri almaya çağırıyor.

İSTANBUL / SİBER GÜVENLİK VE TEKNOLOJİ – İnternet sitelerinin ve web uygulamalarının altyapısında yaygın olarak kullanılan PHP yazılımında 21 Ekim 2026'da duyurulan ve "PHP2Shell" olarak adlandırılan uzaktan kod çalıştırma güvenlik açığı, siber güvenlik dünyasını alarma geçirdi. Belirli koşullarda saldırganların hiçbir kimlik doğrulaması yapmadan sunucularda uzaktan kod çalıştırmasına (RCE) imkân tanıyan açıklar, özellikle kişisel verilerin işlendiği e-ticaret, bankacılık, sağlık ve kamu sistemlerini tehdit ediyor.

“Çok Sayıda Uygulama ve Hassas Veri Etkilenebilir”

Üsküdar Üniversitesi Mühendislik ve Doğa Bilimleri Fakültesi Bilgisayar Mühendisliği Yüksek Lisans Programı Anabilim Dalı Başkanı Prof. Dr. Burhan Pektaş, tespit edilen güvenlik açığının olası etkilerini ve alınması gereken önlemleri değerlendirdi.

Türk Savunma ve Havacılık Sanayiinde Tarihi Rekor

İçeriği Görüntüle

Altyapı açıklarının geniş etki alanına vurgu yapan Prof. Dr. Pektaş, şu ifadeleri kullandı:

"Bu tür açıkların en önemli özelliği, yalnızca tek bir internet sitesini değil, aynı teknolojiyi kullanan çok sayıda uygulamayı potansiyel olarak etkileyebilmesidir. Bir sunucunun ele geçirilmesi, saldırganın elde ettiği yetkilere bağlı olarak kişisel verilere erişmesine, web sitesinin içeriğini değiştirmesine veya hizmetleri kesintiye uğratmasına yol açabilir.

Özellikle hasta bilgileri, öğrenci kayıtları, müşteri hesapları ve sipariş bilgileri gibi hassas verileri işleyen sistemlerde güvenlik önlemleri büyük önem taşıyor. Ancak PHP kullanan bütün sitelerin savunmasız veya ele geçirilmiş olduğunu söylemek doğru değildir. Risk; kullanılan yazılım sürümüne, sunucu yapılandırmasına ve güvenlik güncellemelerinin uygulanıp uygulanmadığına bağlıdır."

"Saldırganın Kullanıcı Hesabını Ele Geçirmesi Gerekmeyebilir"

Kimlik doğrulama mekanizmalarını aşarak doğrudan sunucuya müdahale edilmesini sağlayan açıkların risk boyutuna değinen Pektaş, "Saldırganların kullanıcı adı ve şifreye ihtiyaç duymadan bir sistemde kod çalıştırabilmesi ciddi bir risk. Çünkü savunmasız sisteme gönderilen özel hazırlanmış bir istek saldırıyı başlatabilir. Başarılı bir saldırıda veri tabanlarına erişim, dosyaların değiştirilmesi ve diğer sistemlere sızılması gibi zincirleme tehlikeler doğabilir" değerlendirmesinde bulundu.

Güvenlik açığı bulunmasının doğrudan veri çalındığı anlamına gelmediğini de belirten Pektaş, olası sızmaları doğrulamak için sistem kayıtlarının (loglar) teknik olarak incelenmesi gerektiğini ifade etti.

"Güncelleme Yapılması, Sistemin Daha Önce Saldırıya Uğramadığı Anlamına Gelmez"

Sistem yöneticilerine ve kurumlara acil eylem çağrısında bulunan Prof. Dr. Burhan Pektaş, güncellemelerin vakit kaybetmeksizin yapılması gerektiğini altını çizerek şunları kaydetti:

• Düzenli Güncelleme ve Geçici Tedbirler: Güncellemenin hemen uygulanamadığı durumlarda, savunmasız sistemlerin internete açık kalmasını önleyecek geçici güvenlik tedbirleri devreye sokulmalıdır.

• Teknik İnceleme Koşulu: Sadece güncelleme yapmak geçmişi temizlemez. Şüpheli durumlarda geçmiş kayıtlar incelenmeli ve tüm erişim bilgileri ile şifreler yenilenmelidir.

• Üçüncü Taraf Tedarikçiler: Kurumlar yalnızca kendi sistemlerini değil, dışarıdan hizmet aldıkları yazılım sağlayıcılarının altyapılarını da denetlemelidir.

Bireysel Kullanıcılar İçin Güvenlik Tavsiyeleri

Siber güvenlik krizlerinde panik yapılmaması ancak tedbirli olunması gerektiğini vurgulayan Prof. Dr. Pektaş, bireysel kullanıcılara şu tavsiyelerde bulundu:

1. Çok Faktörlü Kimlik Doğrulama (2FA): Kullandığınız tüm dijital platformlarda çift aşamalı doğrulamayı aktif hale getirin.

2. Hesap Hareketleri Takibi: Banka, e-ticaret ve sosyal medya hesap hareketlerinizi düzenli olarak kontrol edin.

3. Farklı Şifre Kullanımı: Her platform için birbirinden farklı ve karmaşık şifreler tercih edin.

4. Kurumsal Duyurular: Hizmet aldığınız kurumların yapacağı resmi güvenlik duyurularını ve uyarılarını takip edin.