Dünya genelinde milyonlarca internet sitesini tehdit eden iki kritik PHP güvenlik açığının ardından siber saldırı alarmı sürüyor. Türkiye'de ulusal güvenlik taraması başlatılırken, saldırganların güvenlik önlemlerini aşmak için yeni yöntemler geliştirdiği bildirildi. Şifre olmadan sistemlere uzaktan erişim sağlanabilmesi riski nedeniyle kurumlara acil güncelleme çağrısı yapıldı. Güncellenmeyen internet sitelerinin saldırılara karşı savunmasız kalabileceği uyarısında bulunuldu.
Dünya genelinde milyonlarca internet sitesini tehdit eden PHP yazılım altyapısındaki iki kritik güvenlik açığıyla ilgili yeni gelişmeler yaşandı. Türkiye'de Cumhurbaşkanlığı Siber Güvenlik Başkanlığının ulusal güvenlik taraması başlatmasının ardından, uluslararası teknoloji şirketleri güvenlik açıklarını hedef alan saldırı girişimlerinin tespit edildiğini duyurdu. Amazon'un paylaştığı veriler, saldırıların açıklar kamuoyuna duyurulmadan dört gün önce başladığını ortaya koydu.
Amazon'un siber tehdit istihbaratı ekibi, PHP altyapısındaki kritik güvenlik açıklarını hedef alan ilk saldırı girişiminin 17 Ekim'de kaydedildiğini açıkladı. Şirketin MadPot adlı siber tehdit izleme sistemi tarafından tespit edilen girişimin, kimlik gizlemeye yönelik ticari bir ağ üzerinden gerçekleştirildiği belirlendi.
Güvenlik açıklarının ayrıntıları 21 Ekim'de kamuoyuna duyurulurken, saldırganların bu bilgilere dört gün önceden nasıl ulaştığı henüz netlik kazanmadı.
Amazon'un açıklamasına göre 21 Ekim'de farklı IP adresleri üzerinden yeni saldırı girişimleri kaydedildi. Saldırılarda kullanılan yöntemlerin ve bağlantı altyapılarının birbirinden farklı olması, birden fazla saldırgan grubun harekete geçmiş olabileceğini gösterdi.
Güvenlik güncellemelerinin yayımlanmasının ardından da saldırı girişimlerinin devam ettiği belirtildi. Amazon, güvenlik açıklarının artık internet üzerindeki gerçek saldırı girişimlerinde yaygın biçimde kullanıldığını bildirdi.
İnternet güvenliği şirketi Cloudflare da PHP güvenlik açıklarını hedef alan saldırı trafiği tespit ettiğini açıkladı.
Şirket, saldırganların güvenlik duvarlarını aşabilmek amacıyla kullandıkları yöntemleri değiştirmeye çalıştığını belirtti. Cloudflare, geliştirdiği koruma önlemlerini güvenlik açıklarının resmen duyurulmasından önce devreye aldığını ve müşterilerine yönelik saldırı girişimlerini izlediğini bildirdi.
CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen iki güvenlik açığının, saldırganların kullanıcı adı veya şifreye ihtiyaç duymadan savunmasız sunucularda uzaktan kod çalıştırmasına imkan tanıyabildiği belirtildi.
Her iki açığın risk seviyesi 10 üzerinden 9,2 olarak değerlendirilirken, WordPress, Drupal ve Joomla gibi PHP tabanlı sistemleri kullanan internet sitelerinin de etkilenebileceği kaydedildi.
Türkiye'de Cumhurbaşkanlığı Siber Güvenlik Başkanlığının başlattığı ulusal güvenlik taraması kapsamında kurumların sistemlerini kontrol etmeleri ve gerekli önlemleri almaları istendi.
Uluslararası güvenlik kuruluşları da internet üzerinden erişilebilen PHP sunucularının öncelikli olarak güncellenmesi gerektiğini vurguladı. Güvenlik açıklarını kapatan PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri yayımlandı.
Siber güvenlik şirketleri saldırı girişimlerinin başladığını doğrulasa da bu girişimlerin hangi kurumların sistemlerinde başarılı olduğu henüz kesinleşmedi.
Uzmanlar, güvenlik güncellemelerinin geciktirilmemesi ve 17 Ekim'den itibaren sunucu kayıtlarının şüpheli faaliyetler açısından incelenmesi gerektiğine dikkat çekiyor.