İngilis: PHP Təhlükəsizliyi

İnternetin görünmez temel taşlarından biri sarsıldığında, dijital dünyada yankıları aylar değil saatler içinde hissediliyor. Ekim 2026'nın son günlerinde Birleşik Krallık kamu altyapısını felç eden kritik PHP güvenlik açığı, bu gerçeği tüm sertliğiyle yüzümüze vurdu. Sıradan bir yazılım güncellemesi sorunu olmaktan çıkıp ulusal güvenlik krizine dönüşen bu olayda, 30'dan fazla dijital hizmet dış dünyadan tamamen izole edilmek zorunda kaldı.

İngiltere'deki Kamu Hizmetleri Neden Çevrimdışı Kaldı?

Birleşik Krallık hükümeti, vatandaşların sıklıkla kullandığı 32 farklı dijital kamu hizmetinin fişini acil olarak çekme kararı aldı. Bu benzeri görülmemiş kesintinin arkasında bir DDoS saldırısı veya fidye yazılımı değil, sistemlerin altyapısında kullanılan PHP programlama dilindeki kritik bir güvenlik açığı yatıyordu. Yetkililer, saldırganların sisteme sızmasını beklemek yerine "önce kapat, sonra yama yap" stratejisini uygulayarak milyarlarca sterlinlik veriyi korumayı seçti. Bu radikal karar, kamu dijital altyapısının açık kaynaklı bağımlılıklara karşı ne kadar kırılgan olduğunu bir kez daha kanıtladı.

Dijital Altyapıyı Sarsan Tehdit: CVE-2026-109618 Nedir?

Söz konusu kesintinin merkezinde, siber güvenlik dünyasında 9.2 (Kritik) CVSS puanıyla derecelendirilen CVE-2026-109618 ve CVE-2026-109619 kodlu zafiyetler bulunuyor. Bellek taşması olarak bilinen bu hata, saldırganların hiçbir kimlik doğrulamasına gerek duymadan uzaktan kod yürütmesine (RCE) olanak tanıyor. Bu açık, sunucuya özel olarak hazırlanmış zararlı bir HTTP isteği gönderilmesiyle tetikleniyor. Sistem, bu hatalı isteği işlerken belleği taşırıyor ve saldırgana sunucu üzerinde tam kontrol yetkisi veriyor.

Ümumi proqram komponentləri: Milli Təhlükəsizlik üçün sakin risk?

PHP internet səhifələrin haqqında server tərəfindən çalışan böyük bir ekosistemdir. Bir ictimai şirkət kodu neçə o yazırsa, ehtiyac, onun infrastrukturundan istifadə edən əsas komponentlərin bir çatdırılması bilinçsizdir. Böyük Britaniyada məsləhət məsləhətlərinin daha çox cross-border aviasiyalarla gəldiyini göstərir, lakin geniş istifadə edilmiş proqram kitabxanalarında sıfır günlights ilə. Bir fakült kodu blok, vergi sistemlərindən bütün ölkənin digital sinir sistemini saatlarda sağlamlığa düşür.

Dövlət İnstitutuları Cyber Attack Process işləyir?

Geniş-diameter bu növü müəyyən serverlərin avtomatik tarama vasitələri ilə internetin açıqlaşdırılması həyata keçirir. Böyük Britaniya halda PHP serverlərinin qeyd edildiyi zaman, bot şəbəkələri bu serverlərə xüsusi güclü paketlər göstərir. Yadda saxlanılır zaman, hücumer sistemdə "geri qapı" açar. Daha sonra əməliyyat vasitəsilə bütün sistemi kodlaşdırmaq və ya sertifikatlaşdırma. Azərbaycan Respublikasının 32 xidmətinin birbaşa çıxarılması üçün əsas səfəri, bu avtomatik sızma prosesini fiziki olaraq hacklədi.

Bu Cyber Security təhlükəsizliyi necə qorumaq?

Kritik PHP zafiyetine karşı ilk ve en kesin çözüm, sistemleri derhal güvenli sürümlere yükseltmektir. Ancak kamu kurumları gibi devasa ve hantal mimarilerde, yüzlerce uygulamanın çalıştığı sunucuları anında güncellemek genellikle sistem çöküşlerine yol açar. Bu nedenle CERT-EU gibi siber güvenlik ajansları, yama testi yapılana kadar geçici önlemler öneriyor. İnternete açık hassas hizmetlerin ağdan izole edilmesi (İngiltere'nin yaptığı gibi) veya Web Uygulaması Güvenlik Duvarı (WAF) üzerinden gelen kötü amaçlı HTTP isteklerinin filtrelenmesi ilk savunma hattını oluşturuyor. Uzun vadeli çözüm ise bağımlılık analiz araçları kullanarak yazılım tedarik zincirini sürekli denetlemektir.

Topluluk Ne Düşünüyor?

İngiltere'nin 32 servisi kapatma kararı, siber güvenlik dünyasında yoğun bir tartışma yarattı. Bir grup uzman, hükümetin "fişi çekme" kararını son derece cesur ve yerinde bir hamle olarak değerlendiriyor; zira yama sürecindeki saatler bile geri döndürülemez veri sızıntılarına yol açabilir. Diğer bir kesim ise, modern devlet altyapılarının hala hantal monolitik yapılara ve eski PHP sürümlerine bu kadar bağımlı olmasını sert bir şekilde eleştiriyor. Uzmanlara göre, mikroservis mimarisine geçmeyen ve "sıfır güven" politikası uygulamayan her kurum, benzer krizleri yaşamaya mahkum.

Sıkça Sorulan Sorular

PHP güvenlik açığı son kullanıcıları doğrudan etkiler mi?

Açığın kendisi sunucu tarafındadır, dolayısıyla doğrudan sizin bilgisayarınıza veya telefonunuza bulaşmaz. Ancak kullandığınız e-devlet, bankacılık veya sağlık sisteminin veri tabanı bu açık yüzünden ele geçirilirse, kişisel verileriniz çalınma riskiyle karşı karşıya kalır.

Kamu kurumları neden hemen yama yapamıyor?

Böyük dövlət sistemləri bir digər və yeni proqram haqqında danışan həyatdan olub. PHP kimi əsas komponenti yeniləməyə bilər. Buna görə korporativ yamalar çox son həftətlərin uyğunluq testlərindən keçmək lazımdır.

CVE-2026-109618 açıq hər PHP versiyasında var?

No, effektiv bu növü tez-tez dəstəkləndirir. proqramın ən up-to-date, rəsmi dəstəkləndirilmiş və yamalanmış sabit versiyasını istifadə edən sistemlər bu baxışdan qaldırılır.

Bu, bir ölkənin digital xidmətlərini davam edir kodların qarşısını tetikləyə bilər ki, müasir texnologiyanın ən güclərindən biridir. Böyük Britaniya sənayesi, digital dönüşüm yalnız internet xidmətləri son vermir; hər ikinci, hər yeni line kodu infrastrukturu qorumaq gücü ilə ölçüldü. Gənclərin siber müdafiə qiymətlərinin böyük hissələrindən, öz serverlərində açıq komponentlərini nəzarət etmək üçün yeni dövrə daxil edirik.