İnternet siteleri ve web uygulamalarının geliştirilmesinde kullanılan PHP yazılımında 21 Ekim 2026 tarihinde duyurulan ve PHP2Shell olarak anılan güvenlik açıkları, özellikle internete açık sistemlerin güvenliğine ilişkin endişeleri artırdı. Söz konusu açıkların belirli koşullarda kimlik doğrulaması gerektirmeden sunucularda kod çalıştırılmasına yol açabileceği ifade edildi.
Üsküdar Üniversitesi Mühendislik ve Doğa Bilimleri Fakültesi Bilgisayar Mühendisliği Yüksek Lisans Programı Anabilim Dalı Başkanı Prof. Dr. Burhan Pektaş, güvenlik açıklarının olası sonuçlarına dikkat çekerek kurumların yazılım altyapılarını gözden geçirmesi gerektiğini belirtti.
PHP tabanlı uygulamaların bankacılık, e-ticaret, sağlık, eğitim ve kamu hizmetleri gibi birçok alanda kullanıldığına işaret eden Pektaş, aynı teknolojiden yararlanan farklı sistemlerin de güvenlik açıklarından etkilenebileceğini ifade etti.
Hasta Bilgileri ve Öğrenci Kayıtları Tehlikeye Girebilir
Güvenlik açıklarının oluşturabileceği risklerin, sistemlerin teknik özelliklerine ve saldırganların elde edebileceği erişim yetkilerine göre değiştiğini belirten Prof. Dr. Pektaş, sunucuların ele geçirilmesi durumunda kişisel verilere erişim sağlanabileceğini, internet sitelerindeki içeriklerin değiştirilebileceğini veya hizmetlerin kesintiye uğratılabileceğini ifade etti.
Özellikle hasta bilgileri, öğrenci kayıtları, müşteri hesapları ve sipariş detayları gibi hassas verileri işleyen sistemlerde güvenlik önlemlerinin önem taşıdığını vurgulayan Pektaş, kurumların yalnızca kendi altyapılarını değil, hizmet aldıkları üçüncü taraf sistemleri de kontrol etmesi gerektiğini söyledi.
Bununla birlikte bir güvenlik açığının tespit edilmesinin, sistemin kesin olarak saldırıya uğradığı ya da kullanıcı bilgilerinin çalındığı anlamına gelmediğini belirten Pektaş, olası bir ihlalin doğrulanması için sunucu kayıtlarının incelenmesi ve teknik analiz yapılması gerektiğini dile getirdi.
Saldırı İçin Kullanıcı Şifresi Gerekmeyebilir
Kimlik doğrulaması yapılmadan gerçekleştirilebilen saldırıların ciddi riskler barındırdığına dikkat çeken Prof. Dr. Pektaş, bazı durumlarda saldırganların kullanıcı hesabını ele geçirmeden de savunmasız sistemlere müdahale edebileceğini belirtti.
Özel olarak hazırlanmış isteklerle başlatılabilecek saldırıların başarılı olması halinde sistemin yapılandırmasına bağlı olarak veri tabanlarına yetkisiz erişim sağlanabileceğini, dosyaların değiştirilebileceğini veya sistemde kalıcı erişim elde edilmeye çalışılabileceğini kaydeden Pektaş, saldırganların başka sistemlere yönelmesinin de mümkün olabileceğini ifade etti.
Olası bir saldırıda kredi kartı bilgilerinin, şifrelerin veya diğer kişisel verilerin ele geçirilip geçirilmeyeceğinin ise uygulamanın tasarımına, verilerin saklanma biçimine ve saldırganın elde ettiği yetkilere bağlı olduğunu vurguladı.
Yazılım Güncellemeleri Geciktirilmemeli
Kurumların güvenlik açıklarına karşı alması gereken önlemlere değinen Prof. Dr. Pektaş, yazılım güncellemelerinin zamanında uygulanmasının, erişim yetkilerinin sınırlandırılmasının, güvenli yedekleme yapılmasının ve sunucu kayıtlarının düzenli izlenmesinin önemini vurguladı.
Özellikle internete açık uygulamaların ve üçüncü taraf hizmet sağlayıcılarının altyapılarının kontrol edilmesi gerektiğini belirten Pektaş, güncellemenin hemen yapılamadığı durumlarda savunmasız sistemlerin internete açık kalmasını engelleyecek geçici güvenlik önlemlerinin alınması gerektiğini söyledi.
Pektaş, yalnızca yazılımı güncellemenin her durumda yeterli olmayabileceğine de dikkat çekti. Güncelleme yapılmasının sistemin daha önce saldırıya uğramadığını göstermediğini belirten Pektaş, şüpheli bir durumla karşılaşılması halinde teknik inceleme yapılması, gerekli erişim bilgilerinin yenilenmesi ve olayın kapsamının belirlenmesi gerektiğini kaydetti.
Kullanıcılara Hesap Güvenliği Uyarısı
Güvenlik açıklarının kurumlar kadar dijital hizmetlerden yararlanan vatandaşları da dolaylı olarak etkileyebileceğini belirten Prof. Dr. Pektaş, bireysel kullanıcıların da hesap güvenliklerini güçlendirmesi gerektiğini ifade etti.
Kullanıcıların hesap hareketlerini düzenli olarak kontrol etmelerini, farklı platformlarda aynı şifreyi kullanmamalarını ve desteklenen hizmetlerde çok faktörlü kimlik doğrulamayı etkinleştirmelerini öneren Pektaş, kurumların güvenlik duyurularının da takip edilmesi gerektiğini belirtti.
Pektaş, söz konusu güvenlik açıklarına ilişkin haberler nedeniyle paniğe kapılmaya gerek olmadığını ancak dijital güvenlik konusunda tedbirli davranmanın önem taşıdığını vurguladı.
Kişisel verilerin korunması ve dijital hizmetlerin kesintisiz sürdürülebilmesi için güvenlik güncellemelerinin zamanında uygulanması, şüpheli faaliyetlerin araştırılması ve sistemlerin düzenli olarak denetlenmesi gerektiğini ifade etti.
