Hollanda parlamentosu, Rotterdam Limanı, Finlandiya kamu ağları, Fransa İçişleri Bakanlığı, Danimarka'da okul iletişim platformu. Hepsi bugün erişime kapatıldı. Sebebi bir siber saldırı değil, saldırı henüz gelmeden alınan tedbir. PHP adlı programlama dilinde iki kritik güvenlik açığı tespit edildi. Bu açıklar, saldırganların sunuculara kimlik doğrulaması bile yapmadan uzaktan kod çalıştırmasına imkan veriyor. Dünya genelinde web sitelerinin yaklaşık yüzde 75'i PHP üzerinde çalışıyor.
AÇIKLARIN TEKNİK BOYUTU
21 Ekim 2026'da kamuoyuna duyurulan iki güvenlik açığı CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kayıt altına alındı. CVSS v4.0 ölçeğinde 10 üzerinden 9,2 puan aldılar. Bu puan "kritik" anlamına geliyor. Açıklar PHP'nin bellek yönetiminde yer alan bir hatadan kaynaklanıyor. Bellek taşması (out-of-memory) tetiklendiğinde oluşan bozulma, saldırganın sunucuda yetkisiz olarak kod çalıştırmasına yol açabiliyor. WordPress, Drupal, Joomla, Magento gibi milyonlarca web sitesinin altyapısını oluşturan platformlar bu açıktan doğrudan etkileniyor.
Dikkat çeken detay ise açıkların nasıl bulunduğu. Google'ın Gemini 4 Argon, OpenAI'ın GPT-5.6 Sol ve Wiz Atlas gibi yapay zeka araçları bu güvenlik açıklarını tespit etti. Uzmanlar, bu açıkların PHP'nin kaynak kodunda 10 yıldan uzun süredir bulunduğunu, ancak yapay zekanın devreye girmesiyle gün yüzüne çıktığını belirtiyor.
HANGİ ÜLKELER SİTELERİNİ KAPATTI
Hollanda en hızlı hareket eden ülke oldu. Ulusal Siber Güvenlik Merkezi (NCSC) kendi web sitesini kapattı. Hükümet portalı Overheid.nl, Rotterdam Limanı, Temsilciler Meclisi, beş büyük siyasi partinin web siteleri, birçok hastane ve Hollanda Futbol Federasyonu (KNVB) sayfası erişime kapatıldı.
Finlandiya'da devlet bilişim altyapı sağlayıcısı Valtori, kamu ağ hizmetlerini tedbiren durdurdu. Fransa'da İçişleri Bakanlığı yerel yönetim sitelerini bakıma aldı. Belçika'da bakanlıklar ve hastaneler çevrimdışına alındı. Danimarka'da belediye bilişim şirketi Kombit, ulusal okul iletişim platformu dahil çeşitli hizmetleri durdurdu. İngiltere Ulusal Siber Güvenlik Merkezi (NCSC) de acil uyarı yayımlayarak tüm kurumlara PHP sistemlerini hemen güncellemelerini bildirdi.
SALDIRI GİRİŞİMLERİ BAŞLADI
Cloudflare, yamaların yayımlanmasından hemen önce ve sonra internet genelinde erken aşama saldırı girişimlerinin tespit edildiğini açıkladı. FBI da sistem yöneticilerine çağrı yaparak güncellemelerin vakit kaybetmeden uygulanmasını istedi. Güncelleme yapılamayan sistemlerin internetle bağının derhal kesilmesi tavsiye ediliyor.
PHP Vakfı aynı gün 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımlayarak acil yama desteği sundu. CERT-EU (Avrupa Birliği Siber Güvenlik Ekibi), güvenlik duvarı kurallarının geçici bir çözüm olduğunu ve kalıcı korumanın ancak tam yamayla sağlanabileceğini vurguladı.
TÜRKİYE İÇİN NE ANLAMA GELİYOR
Türkiye'de kamu kurumları, belediyeler, hastaneler ve binlerce küçük ölçekli ticari site PHP tabanlı sistemler üzerinde çalışıyor. Paylaşımlı hosting kullanan ve teknik yönetim kapasitesi sınırlı olan siteler bu tehdide en açık olan kesim. WordPress kullanan her sitenin potansiyel risk altında olduğu değerlendiriliyor. Henüz Türkiye'den resmi bir kapatma kararı ya da saldırı bildirimi gelmedi, ancak uzmanlar site yöneticilerinin PHP sürümlerini kontrol etmesini ve güncelleme yapmasını acil olarak öneriyor.
Yapay zekanın 10 yıllık bir açığı bulması, savunma kadar saldırı tarafını da hızlandırıyor. Bir sonraki saldırının yapay zeka tarafından otomatik olarak gerçekleştirilmesi ihtimali artık teorik bir senaryo olmaktan çıkıyor.
