Yeniliklerden ilk siz haberdar olun.
Bildirimlere izin vererek sitemizdeki en yeni gelişmelerden ilk siz haberdar olun.
Bildirimlere izin vererek sitemizdeki en yeni gelişmelerden ilk siz haberdar olun.
Gelişmelerden uzak kalmayın
PHP’nin güvenlik açığı sonrası Türkiye’de yapılan ulusal tarama ve yazılım güvenliği konusundaki kıymetli gelişmeleri derledik.
PHP altyapısında tespit edilen iki kritik güvenlik açığının akabinde Türkiye’de ulusal ölçekte tarama başlatıldı. e-Devlet Kapısı için yapılan denetimlerde sorun tespit edilmediği açıklanırken, öbür sistemlerin durumu da merak konusu oldu. Kritik açıkların gündemde olduğu bu dönemde, İstanbul Teknik Üniversitesi’nde öğrencilerle gerçekleştirdiğim birinci derste inançlı yazılım geliştirme, proje üretimi ve güvenlik bileşenlerinin test edilmesi üzerine yürüttüğümüz çalışmalar da dikkat cazibeli sonuçlar ortaya koydu.
PHP’deki iki kritik açık sebep gündeme geldi?
İnternette kullandığımız hizmetlerin arka planında, birden fazla vakit farkında olmadığımız çok sayıda yazılım çalışıyor. Bir internet sitesinin açılması, bir müracaatın yapılması yahut bir sürecin tamamlanması için sunuculardan programlama lisanlarına kadar pek çok bileşenin birlikte çalışması gerekiyor.
PHP de bu altyapının kıymetli modüllerinden biri. Dünya genelinde internet sitelerinde ve web uygulamalarında yaygın olarak kullanılan PHP; kurumsal portallardan içerik idare sistemlerine, e-ticaret platformlarından özel olarak geliştirilen uygulamalara kadar pek çok alanda kullanılıyor.
PHP’de duyurulan CVE-2026-109618 ve CVE-2026-109619 numaralı iki güvenlik açığı, bu sebeple milletlerarası siber güvenlik gündeminde öne çıktı. Her iki açık da CVSS değerlendirmesinde 9,2 puanla sınıflandırıldı. Milletlerarası teknik ikazlara nazaran makul şartlarda bu açıklar, saldırganların kimlik doğrulaması olmadan uzaktan kod çalıştırmasına yol açabilecek riskler taşıyor.
Bunun manası şu: Etkilenen bir PHP sürümünü kullanan sistem gerekli güvenlik düzeltmelerini almamışsa risk sırf internet sitesinin görünümüyle sonlu kalmayabilir. Sistemin yapılandırmasına ve hücumun şartlarına bağlı olarak sunucudaki bilgiler, belgeler ve hizmetler de etkilenebilir.
Elbette bu, PHP kullanan her internet sitesinin hücuma uğradığı manasına gelmiyor. Bir açığın kritik düzeyde olması, riskin ciddiyetini gösteriyor. Hangi sistemlerin nitekim savunmasız olduğunu ise ayrıyeten incelemek gerekiyor.
Kaynaklar:
Türkiye sebep ulusal ölçekte tarama başlattı?
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, 21 Ekim 2026 tarihinde yayımladığı duyuruda, PHP açıklarının oluşturabileceği riskleri belirlemek ve muhtemel tesirlerini sonlandırmak gayesiyle ulusal ölçekte güvenlik taramalarının başlatıldığını açıkladı.
İlgili kurum ve kuruluşlara güvenlik bildirimleri iletildi. Kurumlardan kullandıkları sistemleri gözden geçirmeleri ve gerekli güvenlik güncellemelerini uygulamaları istendi.
Bu gelişme değerli. Zira birebir yazılımı kullanan farklı kurumlar, birbirinden bağımsız sistemlere sahip olabilir. Bir kurumun gerekli güvenlik tedbirlerini almış olması, öbür bir kurumun da tıpkı durumda olduğu manasına gelmez.
Burada Türkiye açısından merak edilen en kıymetli bahis, taramaların sonucunda neyle karşılaşıldığı.
Şu an için kamuya açık duyurularda Türkiye genelinde kaç sistemin incelendiğini, kaç sistemde açık tespit edildiğini yahut güncellemelerin hangi oranda tamamlandığını gösteren kapsamlı bir sayı bulunmuyor.
Bu sebeple Türkiye’deki bütün kamu sitelerinin risk altında olduğunu söylemek de bütün sistemlerin inançlı olduğunu varsaymak da doğru olmaz. Gerçek tablo, kurumların kullandığı yazılımların ve sürümlerin incelenmesiyle ortaya çıkabilir.
Resmî kaynaklar:
Türkiye’de kaç sistem risk altında?
Bu sorunun bugün için kesin bir karşılığı yok. Fakat riskin sebep ciddiye alınması gerektiğini anlamak için PHP’nin kullanım alanına bakmak kâfi.
PHP sadece kamu kurumlarının internet sitelerinde kullanılmıyor. Özel şirketler, e-ticaret platformları, eğitim kurumları, medya kuruluşları ve farklı büyüklüklerdeki işletmeler de bu altyapıdan yararlanabiliyor.
Üstelik bir kurumun kullandığı her yazılımı kendi takımının geliştirmiş olması gerekmiyor. Dışarıdan alınan bir hizmetin yahut üçüncü taraf bir eserin içinde de PHP bileşenleri bulunabilir. Hasebiyle sırf kurumun ana internet sitesini denetim etmek, bütün riskleri ortaya çıkarmaya yetmeyebilir.
Türkiye’deki gerçek riskin anlaşılması için üç hususa bakılması gerekiyor.
İlk olarak, hangi sistemlerin etkilenen PHP sürümlerini kullandığı belirlenmeli. İkinci olarak, bu sistemlerin internet üzerinden erişilebilir olup olmadığı incelenmeli. Son olarak da güvenlik güncellemelerinin uygulanıp uygulanmadığı doğrulanmalı.
Örneğin, etkilenen bir sürümü kullanan ve internet üzerinden erişilebilen, şimdi güncellenmemiş bir sunucu öncelikli olarak ele alınmalı. Buna karşılık, bu açıkların etkilemediği bir sürümü kullanan sistemin sırf PHP kullanıyor diye savunmasız olduğu söylenemez.
Buradaki temel sorun, PHP kullanan sistemlerin tamamını riskli duyuru etmek değil; nitekim etkilenen sistemleri vaktinde belirleyebilmek.
Kamuoyuyla paylaşılacak doğrulanmış tarama sonuçları, Türkiye’deki riskin boyutunu daha net anlamamıza yardımcı olabilir.
e-Devlet için açıklanan sonuç ne manaya geliyor?
Bu gelişmenin akabinde vatandaşların aklına gelen sorulardan biri de e-Devlet Kapısı’nın durumuydu.
Anadolu Ajansının 22 Ekim 2026 tarihli haberinde, e-Devlet Kapısı’ndaki güvenlik denetimlerinin tamamlandığı ve rastgele bir sorun tespit edilmediğinin bildirildiği aktarıldı.
Bu, e-Devlet özelinde değerli bir açıklama. Fakat bunu hakikat yorumlamak gerekiyor. Bir platformda sorun tespit edilmemesi, Türkiye’deki bütün kamu kurumlarının sistemlerinin tıpkı kapsamda incelendiği yahut tüm sistemlerin bu açıklar bakımından inançlı olduğu manasına gelmiyor.
Her kurumun kullandığı uygulamalar, yazılım bileşenleri ve teknik altyapı farklı olabilir. Bu sebeple öbür sistemlerin durumu da kendi teknik incelemeleriyle belirlenmeli.
Kısacası, e-Devlet için açıklanan sonuç olumlu bir gelişme; ancak ulusal ölçekte yürütülen çalışmaların tamamının sonucu yerine geçmiyor.
Kaynak: https://www.anadoluajansi.gov.tr/tr/gundem/e-devlet-kapisindaki-guvenlik-incelemesi-tamamlandi/4096933
Kurumlar sadece güncelleme yapmakla yetinmemeli
PHP grubu, etkilenen sürüm dalları için güvenlik düzeltmeleri yayımladı. Kurumların kullandıkları sürümleri denetim etmeleri ve uygun inançlı sürümlere geçmeleri gerekiyor.
Ancak güvenlik çalışması, güncellemeyi yüklemekle büsbütün bitmiyor.
Öncelikle kurumun hangi uygulamalarında PHP kullanıldığı bilinmeli. Akabinde kullanılan sürüm doğrulanmalı, güncelleme uygulanmalı ve sistemin hakikaten düzeltilmiş sürümle çalıştığı denetim edilmeli.
Bir öteki kıymetli mevzu da mümkün taarruzların incelenmesi. Bir sistem güncellenmeden evvel berbata kullanılmışsa, sırf güncelleme yapmak geçmişte gerçekleşmiş olabilecek bir ihlali ortadan kaldırmaz. Gerekli durumlarda sistem kayıtlarının incelenmesi ve kuşkulu faaliyetlerin araştırılması gerekir.
Bu sebeple kurumların hem güvenlik açıklarını kapatması hem de muhtaçlık duyulduğunda muhtemel ihlal belirtilerini incelemesi ehemmiyet taşıyor.
Bir açığın bulunması taarruz gerçekleştiğini kanıtlamaz. Tıpkı formda, güncellemenin uygulanması da geçmişte hiçbir akın yaşanmadığını tek başına kanıtlamaz.
PHP açıkları gündemdeyken İTÜ’de dikkat çeken bir çalışma: Yeni kuşak siber güvenliğe ne kadar hazır?
Türkiye’de kritik güvenlik açıklarının konuşulduğu bu dönemde, İstanbul Teknik Üniversitesi Bilişim Enstitüsü yerleşkesinde gerçekleştirdiğim birinci dersin odağında da inançlı yazılım geliştirme, proje üretimi ve güvenlik bileşenlerinin test edilmesi vardı.
Bu açıdan dersin zamanlaması ayrıyeten manalıydı. Bir yanda kurumlar mevcut sistemlerini korumak için güvenlik açıklarına karşı tedbirler alırken, başka yanda gelecekte bu sistemleri geliştirecek öğrencilerle benzer güvenlik problemlerini uygulamalı olarak ele aldık.
Ders kapsamında sırf teorik bilgileri aktarmakla yetinmedik. Sınıf içinde küçük hackathon düzenledik, farklı projeler üzerinde çalıştık ve öğrencilerin geliştirdikleri tahlilleri nasıl hayata geçirdiklerini yakından takip ettim.
Öğrenciler projelerini geliştirirken kullandıkları yazılım bileşenlerini güvenlik açısından kıymetlendirdi. Emniyetli kütüphanelerin seçilmesi, OWASP kaynaklarının dikkate alınması ve güvenlik denetimlerinin geliştirme sürecine dahil edilmesi üzerinde durduk.
Ardından öğrenciler denetimli bir ortamda birbirlerinin projelerini test etti. Tespit ettikleri noktaları kıymetlendirdi, bulgularını raporladı ve geliştirdikleri uygulamaları sunumlar ile canlı demolar üzerinden anlattı. Ben de sunumları dinleyerek projeleri değerlendirdim ve teknik geri bildirimlerde bulundum.
Bu çalışmaların benim açımdan en dikkat cazip tarafı, öğrencilerin sırf çalışan bir uygulama ortaya çıkarmaya odaklanmamasıydı. Bir yazılımın nasıl geliştirildiği kadar, güvenlik açısından nasıl test edileceğini, mümkün problemlerin nasıl tespit edileceğini ve bu meselelerin nasıl raporlanacağını da düşünmeleri gerekiyordu.
İlk ders kapsamında ortaya çıkan çalışmalar, öğrencilerin bu alandaki yaklaşımını gözlemlemek açısından hoş ve yer yer şaşırtan sonuçlar ortaya koydu. Elbette tek bir ders yahut hackathon, bir öğrenci kümesinin ya da Türkiye’deki yeni kuşağın siber güvenlik alanına ne ölçüde hazır olduğunu kesin olarak ölçmeye yetmez. Lakin uygulamalı çalışmalar, öğrencilerin bilgilerini gerçek sorunlara nasıl aktarabildiğini ve güvenlik konusunda nasıl düşündüğünü görmek için değerli bir fırsat sunuyor.
Burada asıl soru sırf öğrencilerin bir güvenlik açığını tanıyıp tanımadığı değil. Tıpkı vakitte hakikat yazılım bileşenlerini seçebiliyorlar mı, geliştirdikleri uygulamaları denetimli biçimde test edebiliyorlar mı, bir sıkıntıyla karşılaştıklarında bunu manalandırıp raporlayabiliyorlar mı ve yazılımı üretim etabına taşırken hangi tedbirleri almaları gerektiğini biliyorlar mı?
İTÜ’deki çalışmada üzerinde durduğumuz başlıklar tam da bu sorularla irtibatlıydı. Zira gerçek dünyada inançlı yazılım geliştirmek, sırf kod yazabilmekten daha fazlasını gerektiriyor. Geliştirilen sistemin güvenilirliğini sorgulamak, kullanılan bileşenleri takip etmek, test sonuçlarını kıymetlendirmek ve güvenlik tedbirlerini sürecin başından itibaren düşünmek de gerekiyor.
Öğrencilerin projelerini sunması, canlı demolar gerçekleştirmesi ve test süreçlerini açıklaması, teorik bilginin uygulamayla buluştuğu değerli aşamalardı. Bir yazılımın sadece çalışması değil, nasıl çalıştığının ve hangi güvenlik değerlendirmelerinden geçtiğinin de anlaşılabilir olması gerekiyor.
Bu çalışma, yeni kuşağın siber güvenliğe ne kadar hazır olduğunu anlamak için tek başına kesin bir ölçüm sunmuyor. Lakin öğrencilerin gerçekçi senaryolarla müsabakasının, kendi geliştirdikleri sistemleri test etmesinin ve teknik bulgularını savunmasının ne kadar değerli olduğunu gösteriyor.
Güvenlik, yazılım tamamlandıktan sonra düşünülmemeli
PHP’de ortaya çıkan kritik açıklar, bu yaklaşımın sebep kıymetli olduğunu yine hatırlatıyor.
Bir yazılım bileşenindeki yanılgı, o bileşeni kullanan çok sayıda sistemi etkileyebilir. Bu sebeple geliştiricilerin kullandıkları kütüphaneleri ve bağımlılıkları tanıması, güncellemeleri takip etmesi ve güvenliği geliştirme sürecinin başından itibaren düşünmesi gerekiyor.
İTÜ’de öğrencilerle gerçekleştirdiğimiz çalışmalarda da bu bakış açısını uygulamalı olarak ele aldık. Güvenli bileşen seçimi, denetimli test, bulguların raporlanması ve üretim öncesi kıymetlendirme, birbirinden bağımsız işler değil; yazılım geliştirme sürecinin birbirini tamamlayan evreleri.
Elbette bir ders yahut hackathon tek başına bütün güvenlik sıkıntılarını çözemez. Fakat gençlerin bu tecrübeleri eğitim etabında kazanması, ileride geliştirecekleri projelerde güvenliği daha şuurlu biçimde ele almalarına yardımcı olabilir.
Türkiye’nin dijital altyapısını koruyacak uzmanların yetişmesi de en az mevcut sistemlerin aktüel tutulması kadar değerli.
Türkiye’nin dijital geleceği için ne yapılmalı?
Bugün için öncelik, etkilenen sistemlerin belirlenmesi ve gerekli güvenlik güncellemelerinin vaktinde uygulanması. Ulusal ölçekte başlatılan taramaların sonuçlarının doğrulanması da Türkiye’deki riskin daha net anlaşılmasını sağlayabilir.
Bunun yanında kurumların yazılım envanterlerini yeni tutması, dayanak dışı sürümleri azaltması ve dışarıdan aldıkları yazılım hizmetlerini de güvenlik açısından değerlendirmesi gerekiyor.
Uzun vadede ise inançlı yazılım geliştirme kültürünün yaygınlaşması değerli. Üniversitelerde uygulamalı çalışmalar yapılması, öğrencilerin projelerini test etmesi, güvenlik bulgularını raporlaması ve teknik kararlarını açıklaması bu kültürün gelişmesine katkı sağlayabilir.
İTÜ’de gerçekleştirdiğim birinci derste öğrencilerle yürüttüğümüz çalışmaların benim açımdan en kıymetli tarafı, güvenliği sırf teorik bir bahis olarak bırakmamaktı. Proje geliştirme, test, kıymetlendirme ve sunum süreçlerini bir araya getirerek öğrencilerin güvenlik konusunu uygulama üzerinden ele almasını hedefledik.
Çünkü siber güvenlik sadece bir açık ortaya çıktığında müdahale etmekten ibaret değil. Riskleri evvelden düşünmek, kullanılan bileşenleri takip etmek, test yapmak ve sıkıntıları hakikat biçimde raporlamak da bu işin ayrılmaz kesimleri.
Türkiye’nin daha inançlı bir dijital geleceğe sahip olması için bugünün sistemlerini korumak ve yarının uzmanlarını yetiştirmek birlikte düşünülmeli. Bir tarafta kritik açıkları vaktinde kapatan kurumlar, başka tarafta güvenliği geliştirme sürecinin başından itibaren düşünen yazılımcılar olmalı.
PHP’deki açıklar bugünün güvenlik sorumluluğunu hatırlatırken, üniversitelerde yürütülen uygulamalı çalışmalar da yarının dijital altyapısını kimlerin ve nasıl geliştireceği sorusunu gündeme getiriyor.
Kaynaklar
Kaynak: Shiftdelete
