Fas, İki PHP Açığı Üzerine Kritik Siber Güvenlik Uyarısı Yayınladı

12:45

Fas'ın siber güvenlik otoriteleri, dünya genelinde web siteleri ve web uygulamalarını güçlendiren yaygın bir programlama dili olan PHP'yi etkileyen iki kritik açık hakkında acil bir uyarı yayınladı. Uyarı, potansiyel olarak savunmasız sunucu yapılandırmalarına dayanan işletmeler, kamu kurumları ve dijital hizmet sağlayıcılarının karşılaştığı riskleri vurgulamaktadır.

Fas Ulusal Savunma İdaresi'ne bağlı Bilgi Sistemleri Güvenliği Genel Müdürlüğü (DGSSI), her iki açığı 21 Ekim 2026'da yayımlanan bir güvenlik bülteninde kritik olarak sınıflandırdı.

CVE-2026-109618 ve CVE-2026-109619 olarak tanımlanan bu açıklar, "PHP2Shell" adıyla ilişkilendirilmiştir. Her biri, CVSS sürüm 4.0 değerlendirme sisteminde 10 üzerinden 9.2'lik bir şiddet puanı almış olup, başarılı bir istismar durumunda potansiyel olarak ciddi sonuçları yansıtmaktadır.

Açıklar, saldırganların etkilenen sistemlerde kimlik doğrulama bilgilerini elde etmeden uzaktan kötü niyetli kod çalıştırmalarına olanak tanıyabilir. Sunucu ortamına ve elde edilen erişim seviyesine bağlı olarak, bir sızma hassas bilgileri açığa çıkarabilir, barındırılan uygulamaları tehlikeye atabilir veya çevrimiçi hizmetleri kesintiye uğratabilir.

İstismar kodunun mevcut olması aciliyeti artırıyor

Kanıt niteliğindeki istismar kodunun yayımlanması, siber güvenlik uzmanları arasında endişeleri artırmıştır. Bu tür materyaller, kötü niyetli aktörlerin güvenli olmayan sistemlere karşı saldırıları test etmelerini ve uyarlamalarını kolaylaştırabilir.

PHP, WordPress gibi popüler içerik yönetim sistemleriyle oluşturulan web siteleri dahil olmak üzere web geliştirmede yaygın olarak kullanılmaktadır. Yaygın kabulü, belirli PHP kurulumlarını etkileyen açıkların geniş bir çevrimiçi hizmet yelpazesinde sonuçlar doğurabileceği anlamına gelir.

Ancak, bu açıkların varlığı her PHP kullanan web sitesinin tehlikeye girdiği anlamına gelmez. Gerçek maruz kalma düzeyi, kullanılan yazılım sürümüne, sunucu yapılandırmasına ve ilgili güvenlik güncellemelerinin yüklenip yüklenmediğine bağlıdır.

Çevrimiçi platformlar işletmeleri için, savunmasız kurulumları tanımlamak ve hızlı bir şekilde yanıt vermek, riski azaltmak için gerekli adımlardır.

Fas, PHP'nin yaygın kullanımı nedeniyle maruz kalıyor

Uyarı, özellikle Fas için önemlidir; burada PHP, ülke kodu alan adı ".ma" olan web siteleri tarafından kullanılan belirgin sunucu tarafı teknolojilerinin önemli bir payını oluşturmaktadır.

21 Ekim 2026'da yayımlanan raporlarda yer alan W3Techs'ten alınan verilere göre, PHP, sunucu tarafı programlama dili tanımlanabilen .ma uzantılı web sitelerinin %75.4'ü tarafından kullanılmaktadır. Karşılık gelen küresel oran ise %69.3'tür.

Bu rakamlar teknolojinin erişimini göstermekte, ancak Fas'taki web sitelerinin yüzdesi olarak yorumlanmamalıdır. Ayrıca, .com ve .net gibi diğer alan uzantılarını kullanan web siteleri ve temel teknolojisi tanımlanamayan siteler hariç tutulmaktadır.

Bu ayrım, maruz kalmalarını değerlendiren işletmeler, hükümet daireleri ve diğer kuruluşlar için önemlidir. Güvenilir bir değerlendirme, altyapılarında çalışan gerçek yazılım sürümlerinin ve yapılandırmalarının kontrol edilmesini gerektirir.

Güvenlik güncellemeleri mevcut

PHP geliştirme ekibi, iki açığı ele almak için düzeltici sürümler yayınlamıştır. Güncellemeler arasında PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 ve PHP 8.5.12 bulunmaktadır.

Kuruluşların, sunucularında ve uygulamalarında yüklü sürümleri tanımlamaları ve ardından uygun güvenlik güncellemelerini derhal uygulamaları önerilmektedir. Yöneticilerin ayrıca PHP'yi içeren üçüncü taraf hizmetlerin ve uygulamaların gerekli düzeltmeleri alıp almadığını doğrulamaları gerekmektedir.

PHP 8.1 veya daha eski sürümleri çalıştıran sistemler özel dikkat gerektirir çünkü bu sürümler artık standart PHP sürüm süreci aracılığıyla düzenli güvenlik bakımı almaz. Bu nedenle, desteklenen bir sürüme geçilmesi önerilmektedir.

Acil bir güncelleme mümkün değilse, kuruluşlar etkilenen sistemlerin izole edilmesi veya yeterli koruma sağlanana kadar geçici olarak çevrimdışı alınması gerektiğini değerlendirmelidir.

Proaktif siber savunmanın önemini hatırlatıyor

DGSSI uyarısı, yazılımın güncellenmesi, açıkların izlenmesi ve güvenlik bildirimlerine zamanında yanıt verilmesinin önemini vurgulamaktadır. Hassas bilgileri veya temel çevrimiçi hizmetleri yöneten kuruluşlar için gecikmiş güncellemeler, düzeltici bir sürüm mevcut olduktan sonra bile altyapıyı savunmasız bırakabilir.

Fas, dijital hizmetlerini genişletmeye devam ederken, web sitelerinin ve çevrimiçi platformların güvenliği önemli bir operasyonel endişe olmaya devam etmektedir. Öncelikli hedef, etkilenen sistemlerin belirlenmesi, uygun yamanın yüklenmesi ve şüpheli faaliyetlerin herhangi bir belirtisinin araştırılmasıdır.

Uyarı, etkili siber güvenliğin yalnızca tehditleri tanımlamakla değil, aynı zamanda açıkların istismar edilmeden önce koruyucu önlemlerin uygulanmasını sağlamakla ilgili olduğunu hatırlatmaktadır.