Sevgili okurlar, dolapların bir çekmecesini daha açıyorum ve içinden yine bir güvenlik bildirimi çıkıyor. Bu seferki, web dünyasının emektar marangozu PHP'den geliyor. Siber Güvenlik Başkanlığı bildirimine göre, PHP programlama dilini etkileyen iki kritik güvenlik zafiyeti bulunuyor ve bu zafiyetler uzaktan kod çalıştırılmasına, yani kısaca RCE'ye kapı aralayabiliyor. Açık kaynaklarda yer alan bilgilere göre zafiyetlere "php2shell" adı verilmiş. Kulağa bir plaj partisi gibi gelse de, aslında hiç öyle değil.
Şimdi işin felsefi kısmına gelelim. Kod dediğin şey, senin verdiğin talimatı harfiyen uygulayan bir çırak gibidir. Ona yanlış masayı gösterirsen, gidip bütün evi boyar. İşte bu zafiyetler de elimizdeki çırağa başkasının fısıldamasına benziyor. Başkanlık bildirimine göre, zafiyetlerin başarılı şekilde istismar edilmesi durumunda etkilenen PHP tabanlı uygulamaların çalıştığı sistemlerde yetkisiz kod çalıştırılması ve uygulamanın sahip olduğu yetkiler ölçüsünde sistem kaynaklarına erişim sağlanması riski var. Yani çırak, başkasının eline geçince dolabın anahtarını da veriyor. Bu da uygulama verilerinin gizliliği, bütünlüğü ve hizmetlerin sürekliliği üzerinde hoş olmayan etkiler bırakabiliyor.
İşin komik ve bir o kadar sinir bozucu tarafı şu: Başkanlık bildirimine göre zafiyetlere ilişkin ayrıntıların, PHP güvenlik ekibinin yayımlayacağı resmî güvenlik duyurusuyla açıklanması bekleniyor. Yani elimizde şimdilik iki CVE kodu var: CVE-2026-109618 ve CVE-2026-109619. Gerisi merakla bekleniyor. Bir nevi düğün davetiyesi gelmiş, gelinle damadı daha tanımıyoruz.
Peki kim etkileniyor? Özünde PHP ile çalışan uygulamaları olan herkes. Yani küçük bir blogdan koca bir kurumsal sisteme kadar geniş bir yelpaze. İyi haber şu ki, Başkanlık bildirimine göre yapılacaklar listesi gayet net:
- Üreticinin resmî güvenlik güncellemesi yayımlandıktan sonra etkilenen sistemler belirlenecek ve üretici tarafından sağlanan güvenli sürümlere gecikmeksizin yükseltilecek.
- Yönetim arayüzlerine ve kritik PHP servislerine yönelik dış erişimler, güvenlik duvarı (Firewall/ACL) kurallarıyla yalnızca güvenilir/yetkili IP adresleriyle sınırlandırılacak.
- Yurt dışı erişim ihtiyacı bulunmayan sistemler ivedilikle uluslararası trafiğe kapatılacak.
Gördüğünüz gibi mesele sihirli değnek değil, biraz disiplin. Güncellemeyi ertelemeyin, kapıyı herkese açık bırakmayın, gerekmiyorsa dünyaya pencere açmayın. Bu üçü, dolabın kapağını kapalı tutmanın en ucuz yoludur. Unutmayın, Başkanlık bildirimine göre resmî duyuru henüz yayımlanmayı bekliyor; o yüzden gözünüz üreticinin duyurusunda olsun.
Hadi bakayım, şimdi usulca dağılın ve mümkünse mısmıl olun Demirhan.