Avrupa'da PHP yazılımındaki açıklar nedeniyle devlet siteleri kapatıldı

Yaygın olarak kullanılan PHP programlama dilinde tespit edilen iki kritik güvenlik açığı nedeniyle Finlandiya, Hollanda ve Fransa'daki bazı kamu kurumları, olası siber saldırı risklerine karşı internet sitelerini geçici olarak erişime kapattı. Güvenlik zafiyetlerinin giderilmesi için gerekli güncellemelerin tamamlanması bekleniyor.

Finlandiya Devlet Bilgi ve İletişim Teknolojileri Merkezi (Valtori), kamuya açık bazı devlet internet hizmetlerinin çarşamba günü saat 12.45 itibarıyla kapatılmaya başlandığını duyurdu. Hollanda'da ise ulusal siber güvenlik kurumu, tedbir amacıyla kendi internet sitesini devre dışı bıraktı. Fransa'da İçişleri Bakanlığı, güvenlik düzeltmeleri tamamlanana kadar valiliklerin internet sitelerinin erişime kapalı tutulacağını bildirdi.

CVE-2026-109618 ve CVE-2026-109619 kimlikleriyle takip edilen zafiyetlerin, CVSS v4.0 ciddiyet ölçeğinde 10 üzerinden 9,2 puan aldığı belirtildi. Avrupa Birliği Bilgisayar Acil Durum Müdahale Ekibi (CERT-EU), bu yüksek risk seviyesinin saldırganlara sistemlere giriş yapmadan uzaktan zararlı kod çalıştırma imkanı tanıyabileceği konusunda uyardı. PHP geliştirici ekibi, söz konusu açıkları kapatacak yamaların 21 Ekim tarihinde yayımlanacağını duyurdu.

Güvenlik şirketleri watchTowr, Calif ve Wiz tarafından yapılan çalışmalarda, açıkların PHP'nin 5, 6, 7 ve 8 sürümlerini etkileyebileceği öne sürüldü. Wiz, bu zafiyetlerin yapay zeka yardımıyla tespit edildiğini ve bugüne kadar bulunan en ciddi güvenlik açıkları arasında yer aldığını ifade etti. Hollanda yetkilileri, zafiyetlerin şu ana kadar aktif olarak kötüye kullanıldığına dair bir bulguya rastlanmadığını belirtti.

Söz konusu güvenlik açıkları, dünya genelindeki internet sitelerinin yaklaşık yüzde 75'ine hizmet veren PHP altyapısı nedeniyle milyonlarca siteyi etkileme potansiyeline sahip. Alan adı sağlayıcısı GoDaddy, açıkların sunucularda uzaktan işlem yapılmasına zemin hazırlayabileceği uyarısında bulunurken, uzmanlar yamaların yayımlanmasının ardından kitlesel saldırı riskine karşı sistem yöneticilerini uyardı.