Konu: T.C. Siber Güvenlik Başkanlığı tarafından 21/10/2026 tarihinde yayımlanan TR-26-1372 sayılı PHP Programlama Dili Güvenlik Bildirimi kapsamında, CVE-2026-109618 ve CVE-2026-109619 referanslı kritik güvenlik zafiyetlerine ve alınması önerilen tedbirlere ilişkin bilgilendirme.

1. Giriş

T.C. Siber Güvenlik Başkanlığı (Başkanlık), 21 Ekim 2026 tarihinde TR-26-1372 (PHP Programlama Dili Güvenlik Bildirimi) başlıklı bir güvenlik bildirimi yayımlamıştır. Bildirimde, PHP programlama dilini etkileyen ve güvenlik araştırmacıları tarafından “php2shell” olarak adlandırılan CVE-2026-109618 ve CVE-2026-109619 referanslı iki kritik güvenlik zafiyetinin uzaktan kod çalıştırılmasına (Remote Code Execution – RCE) imkân tanıyabileceği belirtilmiştir.

Başkanlık bildiriminde zafiyetlere ilişkin ayrıntıların PHP güvenlik ekibi tarafından yayımlanacak resmî güvenlik duyurusuyla açıklanmasının beklendiği ifade edilmektedir. Bu nedenle kuruluşların, mevcut aşamada ihtiyati koruma tedbirlerini uygulaması; resmî üretici duyurusu ve güvenli sürüm bilgileri yayımlandığında ise etkilenen sistemleri gecikmeksizin güncellemesi önem taşımaktadır.

2. Güvenlik Zafiyetlerinin Olası Etkileri

Söz konusu zafiyetlerin başarılı şekilde istismar edilmesi hâlinde, saldırganların etkilenen PHP tabanlı uygulamaların çalıştığı sistemlerde yetkisiz kod çalıştırabilmesi ve uygulamanın sahip olduğu yetkiler ölçüsünde sistem kaynaklarına erişebilmesi riski bulunmaktadır. Bu durum; uygulama verilerinin gizliliği ve bütünlüğü ile hizmetlerin sürekliliği bakımından olumsuz sonuçlar doğurabilecektir.

Zafiyetlerin PHP programlama dilini etkilemesi nedeniyle yapılacak incelemenin yalnızca belirli bir internet sitesiyle sınırlandırılmaması; kurum bünyesinde veya hizmet alınan üçüncü taraflar nezdinde işletilen, internet erişimine açık PHP tabanlı uygulama ve servisleri kapsayacak biçimde yürütülmesi önerilmektedir. Bununla birlikte, belirli bir ürünün etkilenip etkilenmediği yalnızca kullanılan ürün veya altyapının PHP tabanlı olmasına dayanılarak varsayılmamalı; üretici duyuruları, kullanılan PHP sürümü ve sistem yapılandırması özelinde teknik olarak doğrulanmalıdır.

3. Alınması Önerilen Teknik ve İdari Tedbirler

Başkanlığın güvenlik bildirimi doğrultusunda, özellikle internet erişimine açık PHP tabanlı sistemleri bulunan kurum ve kuruluşların aşağıdaki kontrolleri ivedilikle gerçekleştirmesi önerilmektedir:

  • Etkilenen sistemlerin belirlenmesi: Kurum bünyesinde veya hizmet alınan üçüncü taraflar nezdinde kullanılan PHP tabanlı uygulama, servis ve yönetim arayüzlerinin envanterinin çıkarılması; kullanılan PHP sürümleri ile internet erişim durumlarının tespit edilmesi.
  • Resmî duyuru ve güncellemelerin izlenmesi: PHP güvenlik ekibinin ve ilgili ürün üreticilerinin resmî güvenlik duyurularının takip edilmesi; etkilenen sürümler ile güvenli sürümlerin doğrulanmasını takiben gerekli güncellemelerin gecikmeksizin uygulanması.
  • Dış erişimlerin sınırlandırılması: Yönetim arayüzleri ve kritik PHP servislerine yönelik dış erişimlerin güvenlik duvarı (Firewall/ACL) kurallarıyla yalnızca güvenilir ve yetkili IP adresleriyle sınırlandırılması.
  • Uluslararası trafiğin gözden geçirilmesi: Yurt dışı erişim ihtiyacı bulunmayan sistemlerin uluslararası trafiğe kapatılması; iş ihtiyacının bulunduğu durumlarda erişimin mümkün olan en dar kapsamda sınırlandırılması.
  • Olay belirtilerinin incelenmesi: İlgili sistemlere ait erişim, uygulama, güvenlik duvarı ve sistem loglarının yetkisiz erişim veya olağandışı faaliyet göstergeleri bakımından incelenmesi; şüpheli bir bulgu hâlinde kurumun olay müdahale sürecinin işletilmesi.

4. Kişisel Verilerin Korunması Hukuku Bakımından Değerlendirme

PHP tabanlı sistemlerde kişisel veri işlenmesi hâlinde konu yalnızca teknik bir siber güvenlik meselesi olarak değerlendirilmemelidir. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (Kanun) 12’nci maddesi uyarınca veri sorumluları, kişisel verilerin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ile kişisel verilerin muhafazasını sağlamak amacıyla gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür.

Bu kapsamda veri sorumlularının, güvenlik bildirimini öğrendikleri andan itibaren etkilenen sistemleri ve bu sistemlerde işlenen kişisel verileri belirlemesi; riskin niteliği ve olası etkileriyle orantılı geçici ve kalıcı tedbirleri uygulaması; hizmet sağlayıcıların aldığı tedbirleri denetlemesi ve yürütülen çalışmaları kayıt altına alması önem taşımaktadır. Şüpheli bir erişim veya saldırı tespit edilmesi hâlinde, olayın kişisel verilerin gizliliği, bütünlüğü veya erişilebilirliği üzerindeki etkisi ayrıca değerlendirilmelidir.

Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin tespit edilmesi durumunda ise Kanun’un 12’nci maddesi kapsamında ilgili kişilere ve Kişisel Verileri Koruma Kurulu’na bildirim yükümlülüğü gündeme gelebilecektir. Ancak yalnızca güvenlik zafiyetinin mevcut olması, tek başına kişisel veri ihlalinin gerçekleştiği anlamına gelmemekte; bildirim gerekliliğinin somut olayın teknik bulguları ve etkileri esas alınarak ayrıca değerlendirilmesi gerekmektedir.

5. Kayıt Altına Alma ve Delillendirme

Kurumların güvenlik bildirimini ne zaman öğrendiği, risk değerlendirmesinin ne zaman başlatıldığı, etkilenen sistemlerin nasıl belirlendiği, uygulanan geçici tedbirler, üretici duyurularının takibi, güncelleme tarihleri, gerçekleştirilen log incelemeleri ve üçüncü taraflardan alınan teyitlerin yazılı bir zaman çizelgesiyle kayıt altına alınması önerilmektedir. Bu kayıtlar, Kanun’un 12’nci maddesi kapsamında gerekli teknik ve idari tedbirlerin zamanında ve riskle orantılı şekilde alındığının ortaya konulması bakımından önem taşımaktadır.

6. Sonuç

TR-26-1372 sayılı güvenlik bildirimi, PHP programlama dilini etkileyen iki kritik zafiyetin uzaktan kod çalıştırılması ve sistem kaynaklarına yetkisiz erişim riski doğurabileceğine işaret etmektedir. Bu nedenle kurumların, internet erişimine açık PHP tabanlı sistemlerini ve kullanılan sürümleri ivedilikle belirlemesi; dış erişimleri sınırlandırması; gerekli olmayan uluslararası trafiği kapatması; resmî üretici duyurularını takip ederek güvenli sürümler yayımlandığında güncellemeleri gecikmeksizin uygulaması ve olası saldırı belirtilerini incelemesi önem taşımaktadır.

Kişisel veri işlenen sistemlerin etkilenmesi veya yetkisiz erişim şüphesi bulunması hâlinde, teknik incelemeye ek olarak KVKK kapsamındaki veri güvenliği ve olası veri ihlali yükümlülüklerinin ayrıca değerlendirilmesi; gerçekleştirilen tüm kontrollerin ve alınan aksiyonların zaman çizelgesiyle kayıt altına alınması gerekmektedir.

Kişisel verilerin korunması mevzuatı kapsamındaki detaylı hukuki değerlendirme veya ilave hukuki değerlendirme talebiniz olması hâlinde tarafımızla iletişime geçebilirsiniz.

İletişim:

Av. Tuğçe Gültekin

Şirket Ortağı
tugce.gultekin@tr.ey.com
(212) 315 30 00