PHP Skandalı: Dünyanın Dijital Kapıları Açık mı Kaldı?

İki yıl önce fark edilen yazılım sorunu, kritik sunuculara yönelen saldırılar, milyarlarca dolarlık dijital varlık kaybı ve ülkelerin acil durum hazırlıkları… Ortak soru: Dijital hayatımız ne kadar dayanıklı?

21 Ekim 2026’da, bilgisayar ekranlarında görünen birkaç teknik kod, dünyanın dört bir yanında alarm zillerini çaldırdı. Avrupa’da bazı kamu kurumları internet sitelerini tedbir amacıyla erişime kapattı. Güvenlik ekipleri acil güncellemelere yöneldi. Türkiye’de Cumhurbaşkanlığı Siber Güvenlik Başkanlığı ulusal ölçekte tarama başlattı.

Gündemdeki yazılımın adı PHP idi. Çoğumuz bu üç harfi hiç duymamıştık. Oysa günlük hayatımızda ziyaret ettiğimiz sayısız internet sitesinin arkasında bu teknoloji çalışıyordu.

Daha düşündürücü olan ise şuydu: Güvenlik probleminin ilk işaretleri 2024 yılında fark edilmişti. Buna rağmen kriz Ekim 2026’da dünya gündemine taşındı. Üstelik saldırı girişimleri, açıklar kamuoyuna duyurulmadan dört gün önce tespit edilmişti.

Aradan bir hafta geçmeden, 29 Ekim’de dünyanın önde gelen kripto para platformu Binance, yaklaşık 6,3 milyar dolarlık dijital varlığı etkileyen bir siber saldırıyı doğruladı. Aynı günlerde, birçok ülkenin vatandaşlarına elektrik ve internet olmadan yaşayabilecekleri acil durum hazırlıkları tavsiye ettiği yeniden konuşuluyordu.

Bu gelişmelerin tek bir merkezden yönetildiğini gösteren bir kanıt bulunmuyor. Fakat birbirinden bağımsız bu olaylar, önümüzde aynı soruyu bırakıyor: Dijital sistemlerin sağladığı konfor bir gün aniden kesilirse ne yapacağız?

PHP NEDİR? BU ÜÇ HARF NEDEN HEPİMİZİ İLGİLENDİRİYOR?

PHP, İngilizce “PHP: Hypertext Preprocessor” ifadesinin kısaltmasıdır. Türkçede kabaca “Hipermetin Ön İşlemcisi” olarak ifade edilebilir. İnternet sitelerinin görünen ekranının ardında, sunucu tarafında çalışan bir programlama dilidir.

Bir hastaneden randevu aldığınızı düşünün. Tarih seçiyor, kimlik bilgilerinizi giriyor, onay düğmesine basıyorsunuz. Siz ekrandaki birkaç satırı görürken arka planda sunucular, yazılımlar ve veri tabanları konuşuyor. PHP bu işleri yürüten sistemleri geliştirmek için sık kullanılan teknolojilerden biridir.

WordPress gibi milyonlarca internet sitesinde kullanılan altyapılar da PHP’ye dayanır. Dolayısıyla PHP’nin çekirdeğinde ortaya çıkan ciddi bir güvenlik sorunu, tek bir sitenin değil, farklı ülkelerdeki çok sayıda uygulamanın gündemine girer.

GÜVENLİK AÇIĞI NEDİR? KİLİTLİ KAPININ BİLİNMEYEN ARALIĞI

Evinizin kapısında sağlam bir kilit olduğunu düşünün. Siz kapıyı kilitliyor ve kendinizi güvende hissediyorsunuz. Fakat kilidin üretiminde sizin bilmediğiniz bir hata var. Bu hatayı keşfeden biri, anahtarınız olmadan da kapıyı açabiliyor. Yazılımdaki güvenlik açığı tam da böyle bir kusurdur.

21 Ekim’de CVE-2026-109618 ve CVE-2026-109619 numaralarıyla duyurulan iki kritik PHP açığı, uygun koşullarda saldırganın kullanıcı adı veya parola bilmeden savunmasız bir sunucuda komut çalıştırmasına imkân verebiliyordu. CVE, güvenlik açıklarının uluslararası alanda takip edilmesini sağlayan kayıt numarasıdır.

Uzmanlar bu tehlikeyi “uzaktan kod çalıştırma” olarak tanımlıyor. Kısacası saldırgan, savunmasız bir sisteme uzaktan bir komut gönderebiliyor. Başarılı olursa ele geçirdiği yetkiler ölçüsünde dosyalara erişebilir, verileri değiştirebilir veya hizmetleri aksatabilir.

Ancak önemli ayrım şudur: PHP kullanan her site ele geçirilmiş değildir. Tehlike, açığa karşı güncellenmemiş ve saldırı koşullarını taşıyan sistemler içindir. Tam da bu nedenle üreticinin yayımladığı güvenlik düzeltmesini gecikmeden uygulamak kritik önemdedir.

ASIL SKANDAL: SORUNUN İLK İŞARETLERİ 2024’TE GÖRÜLMÜŞ!

PHP Foundation’ın 21 Ekim tarihli açıklaması olayın teknik boyutunun ötesinde kurumsal bir sorumluluk meselesini gündeme getirdi. 2024’te yapılan denetim sırasında bellek yönetimiyle ilgili bir problemin ilk işaretleri görülmüştü. O tarihte bunun uzaktan saldırıda kullanılabileceği henüz somut olarak gösterilememişti.

Geliştiriciler farklı düzeltme yollarını tartıştı. Ne var ki bazı seçenekler eski sistemlerle uyumluluğu bozuyor, bazıları başka riskler doğuruyordu. Sınırlı uzman kaynağı ve karar alma sürecindeki tıkanma yüzünden çalışma defalarca durup yeniden başladı.

PHP Foundation bu gecikmeyi açıkça yapısal bir başarısızlık olarak nitelendirdi. Bu açıklama en az açıkların kendisi kadar önemlidir. Çünkü milyonlarca insanın dayandığı bir yazılımın güvenliği, küçük bir geliştirme ekibinin kaynaklarına ve kararlarına bağlı kalabiliyor.

Bir yazılımın yaygın kullanılması, onun mutlak güvenli olduğu anlamına gelmez. Açık kaynaklı olması da otomatik güvence değildir. Güvenlik; sürekli denetim, sürdürülebilir uzman kadro ve zamanında müdahale gerektirir.

DÜNYA DUYMADAN DÖRT GÜN ÖNCE SALDIRI GİRİŞİMİ!

Amazon’un tehdit istihbaratı ekipleri, 17 Ekim’de PHP2Shell adı verilen açıklara yönelik bir istismar girişimi tespit etti. Resmî açıklama ise 21 Ekim’de yapıldı. Dört günlük bu fark, siber güvenliğin görünmeyen yüzünü anlatmaya yetiyor.

Peki saldırganlar bilgiyi nereden öğrenmişti? Bağımsız keşif mi söz konusuydu, bilgi bir yerden mi sızmıştı? Araştırmacılar bunun kesin cevabını henüz ortaya koyamadı. Kesin olmayan bir konuda hüküm vermek yerine, ortaya çıkan riski doğru okumalıyız.

Savunma ekipleri henüz hangi tehlikeyle karşı karşıya olduklarını bilmezken, başka birileri kapının nasıl açılacağını araştırıyor olabilir. Siber istihbaratta zaman farkı bazen teknolojik farktan bile daha belirleyicidir.

Check Point’in 22 Ekim tarihli ölçümlerinde dünya genelinde izlenen kuruluşların yaklaşık yüzde 10’una, Türkiye’de ise yüzde 11’ine yönelik istismar girişimleri kaydedildi. Bu rakamlar başarılı sızma oranı değil, güvenlik sistemlerinde görülen saldırı teşebbüsleridir.

6,3 MİLYAR DOLARLIK SALDIRI: DİJİTAL SERVETİN KIRILGANLIĞI

PHP krizinden günler sonra, 29 Ekim’de Binance yaklaşık 6,3 milyar dolar değerinde kripto varlığın sıcak cüzdanlarından izinsiz çekildiğini açıkladı. İşlemler birkaç saate yayıldı. İlk incelemelerde ele geçirilmiş bir çalışanın bilgisayarından söz edilirken daha sonra başka ihlal noktalarının da araştırıldığı bildirildi.

31 Ekim’de Reuters’in aktardığına göre şirket, kaybın yaklaşık 6 milyar dolarlık bölümünü kendi kaynaklarıyla yeniden karşılamıştı. Saldırının nasıl gerçekleştiğine ilişkin teknik inceleme sürüyordu.

Bu saldırıyı PHP açığına bağlayan doğrulanmış bir bulgu yok. İki ayrı olayı aynı saldırının parçası gibi sunmak doğru olmaz. Buna rağmen her ikisinin verdiği ders ortaktır: Bir dijital sistemin büyüklüğü, marka değeri veya günlük işlem hacmi, onun hiçbir zaman aşılamayacağı anlamına gelmez.

Bir tarafta dünyada milyonlarca internet sitesini ilgilendiren yazılım kusuru; öte tarafta milyarlarca dolarlık varlığın güvenliği… Dijital çağın kırılganlığı artık yalnızca teknik uzmanların değil, bütün toplumun meselesidir.

DÜNYA NEDEN SU, GIDA VE PİLLİ RADYO HAZIRLIĞI İSTİYOR?

Sosyal medyada dolaşan bir harita, 33 ülkenin vatandaşlarına acil durum hazırlığı tavsiye ettiğini öne sürüyor. Haritadaki tüm ülkelerin sürelerini tek tek doğrulamak mümkün olmasa da resmî örnekler yeterince çarpıcı.

Almanya, evlerde günlerce yetecek temel gıda stoğu öneriyor. Norveç, vatandaşlarının bir hafta boyunca kendi ihtiyaçlarını karşılayabilmesini hedefliyor. Avrupa Birliği de 26 Mart 2025’te açıkladığı hazırlık stratejisinde en az 72 saatlik bireysel dayanıklılık için rehber geliştirilmesini kararlaştırdı.

Bu kararlar PHP krizi üzerine alınmış yeni kararlar değil. Deprem, sel, büyük fırtına, salgın, savaş, sabotaj ve uzun süreli kesinti gibi farklı tehlikeleri kapsayan hazırlık politikalarıdır. Siber saldırılar da aynı riskler arasında yer alıyor.

Yine de insanın aklına bir soru geliyor: Akıllı telefonların, yapay zekânın ve kesintisiz bağlantı vaatlerinin çağında neden hâlâ pilli radyo öneriliyor?

Çünkü elektrik kesildiğinde modeminiz susar. Baz istasyonu hizmet veremediğinde en gelişmiş telefonunuz da iletişim kuramayabilir. Elektronik ödeme altyapısı durduğunda cebinizdeki banka kartının size faydası kalmayabilir. Norveç’in resmî hazırlık rehberi, vatandaşların bir hafta boyunca elektrik, su, internet, mobil şebeke veya ödeme sistemleri olmadan yaşayabileceklerini düşünerek plan yapmalarını istiyor.

Bir sabah uyanıp internetin çalışmadığını, bankaya ulaşamadığınızı, akaryakıt alırken ödeme yapamadığınızı ve yakınlarınızdan haber alamadığınızı düşünün. Bu senaryo her zaman bir siber saldırı sonucu yaşanmak zorunda değildir; ancak sistemlerin kesilmesine hazırlıklı olmak, hangi sebeple olursa olsun hayat kurtarabilir.

DİJİTAL BAĞIMLILIK: KONFOR MU, STRATEJİK ZAAF MI?

Evlerimizin kameraları, otomobillerimizin yazılımları, hastanelerimizin randevu sistemleri, bankalarımız, ulaşım ve enerji ağlarımız artık sürekli veri üretiyor, işliyor ve birbirine bağlanıyor.

Dijitalleşme hayatı kolaylaştırıyor. Fakat her yeni bağlantı, gerektiği gibi korunmadığında yeni bir saldırı yüzeyi oluşturuyor. Üstelik yazılımın geliştirilmesi, güvenlik güncellemeleri ve kaynak kodun denetlenmesi tümüyle başkalarının elindeyse teknoloji bağımlılığı stratejik bir risk hâline gelebiliyor.

Düşünün: Kritik bir kurumunuzun kullandığı yazılımda açık bulunuyor. Kaynak kodunu bağımsız değerlendirme kapasiteniz sınırlı, düzeltmenin yayımlanacağı takvimi siz belirlemiyorsunuz. Bütün sistemleriniz, başka bir ülkedeki geliştirme ekibinden gelecek güncellemeyi bekliyor.

Dijital egemenlik tartışmasının özü burada yatıyor. Teknolojiyi kullanmak önemlidir; ama onu anlayabilmek, doğrulayabilmek ve gerekirse kendi imkânlarıyla güvenliğini sağlayabilmek çok daha önemlidir.

TÜRKİYE’NİN ÇIKARMASI GEREKEN DERS

Cumhurbaşkanlığı Siber Güvenlik Başkanlığının 21 Ekim’de ulusal tarama başlatması ve kurumlara acil güvenlik bildirimi göndermesi, doğru ve gerekli bir önleyici adımdı. Ancak krizleri yalnızca güncelleme yaparak geride bırakmak yeterli değildir.

Kamu kurumları ve kritik altyapılar, kullandıkları yazılımları sürümleriyle birlikte bilmeli; güvenlik açıklarını düzenli olarak taramalı; üretici yamalarını hızla uygulamalı; log kayıtlarını ve beklenmedik sistem davranışlarını izlemelidir.

Öte yandan asıl hazırlık, “İnternet birkaç gün çalışmazsa ne olacak?” sorusuna verilen cevaptır. Sağlık, enerji, ulaşım, haberleşme ve finans hizmetlerinde alternatif çalışma yöntemleri önceden belirlenmeli; bu senaryolar kâğıt üzerinde kalmayıp tatbikatlarla sınanmalıdır.

Bu alanda Siber Güvenlik Başkanlığının koordinasyonu, TÜBİTAK BİLGEM’in bilgi birikimi, üniversitelerimizin araştırma kapasitesi ve yerli siber güvenlik şirketlerinin kabiliyetleri birbirini tamamlayacak biçimde değerlendirilebilir.

Her yabancı yazılım güvensiz değildir. Her yerli yazılım da yalnızca yerli olduğu için güvenli sayılamaz. Belirleyici olan, kritik teknolojinin güvenliğini bağımsız olarak ölçebilmek, hatasını bulabilmek ve ihtiyaç anında müdahale edebilmektir.

DİJİTAL DÜNYANIN ŞALTERİ KİMİN ELİNDE?

2024’te bir yazılım probleminin ilk işaretleri görüldü. 17 Ekim 2026’da saldırı girişimleri kaydedildi. 21 Ekim’de dünyanın dört bir yanında acil güvenlik güncellemeleri yapıldı. 29 Ekim’de milyarlarca dolarlık dijital varlığın güvenliği bir kez daha tartışmaya açıldı.

Aynı dünyada hükümetler, vatandaşlarına evlerinde su, gıda ve gerektiğinde internetsiz haber alabilecekleri bir radyo bulundurmalarını tavsiye ediyor. Bu gelişmeler birbirinin nedeni değil; fakat aynı kırılganlığı farklı cephelerden gösteriyor.

Artık bir ülkenin güvenliğini değerlendirirken yalnızca fiziksel imkânlarına bakmak yeterli değil. Yazılımlarının, veri merkezlerinin, haberleşme sistemlerinin ve kritik hizmetlerinin kesintilere ne kadar dayanıklı olduğunu da sormak gerekiyor.

Siber güvenlik, yalnızca bilgisayarları koruma işi değildir. Hayatın devam edebilmesini güvence altına alma meselesidir.

Bugün kullandığımız teknolojilerin kapılarının gerçekten kilitli olduğundan ne kadar eminiz? Ve yarın birileri dijital dünyanın şalterini indirirse, ışıkları kendi imkânlarımızla yeniden yakabilir miyiz?

Çünkü en büyük tehlike, kapımızın zorlanması değildir. Kapının uzun zamandır aralık olduğunu bizim fark etmememizdir.

Ve daha da düşündürücüsü, biz kendimizi güvende zannederken başkalarının içeri girmenin yolunu çoktan öğrenmiş olmasıdır.

(E) Tuğg. Halil İbrahim BÜYÜKBAŞ