İngiltere'de Siber Güvenlik Krizi: PHP Güvenlik Açığı

İnternetin görünmez temel taşlarından biri sarsıldığında, dijital dünyada yankıları aylar değil saatler içinde hissediliyor. Ekim 2026'nın son günlerinde Birleşik Krallık kamu altyapısını felç eden kritik PHP güvenlik açığı, bu gerçeği tüm sertliğiyle yüzümüze vurdu. Sıradan bir yazılım güncellemesi sorunu olmaktan çıkıp ulusal güvenlik krizine dönüşen bu olayda, 30'dan fazla dijital hizmet dış dünyadan tamamen izole edilmek zorunda kaldı.

İngiltere'deki Kamu Hizmetleri Neden Çevrimdışı Kaldı?

Birleşik Krallık hükümeti, vatandaşların sıklıkla kullandığı 32 farklı dijital kamu hizmetinin fişini acil olarak çekme kararı aldı. Bu benzeri görülmemiş kesintinin arkasında bir DDoS saldırısı veya fidye yazılımı değil, sistemlerin altyapısında kullanılan PHP programlama dilindeki kritik bir güvenlik açığı yatıyordu. Yetkililer, saldırganların sisteme sızmasını beklemek yerine "önce kapat, sonra yama yap" stratejisini uygulayarak milyarlarca sterlinlik veriyi korumayı seçti. Bu radikal karar, kamu dijital altyapısının açık kaynaklı bağımlılıklara karşı ne kadar kırılgan olduğunu bir kez daha kanıtladı.

Dijital Altyapıyı Sarsan Tehdit: CVE-2026-109618 Nedir?

Söz konusu kesintinin merkezinde, siber güvenlik dünyasında 9.2 (Kritik) CVSS puanıyla derecelendirilen CVE-2026-109618 ve CVE-2026-109619 kodlu zafiyetler bulunuyor. Bellek taşması olarak bilinen bu hata, saldırganların hiçbir kimlik doğrulamasına gerek duymadan uzaktan kod yürütmesine (RCE) olanak tanıyor. Bu açık, sunucuya özel olarak hazırlanmış zararlı bir HTTP isteği gönderilmesiyle tetikleniyor. Sistem, bu hatalı isteği işlerken belleği taşırıyor ve saldırgana sunucu üzerinde tam kontrol yetkisi veriyor.

Yaygın Yazılım Bileşenleri: Ulusal Güvenlik İçin Sessiz Bir Risk mi?

PHP, internetteki web sitelerinin yaklaşık yüzde 75'inin sunucu tarafında çalışan devasa bir ekosistem. Bir kamu kurumu kendi yazdığı koda ne kadar güvenirse güvensin, altyapısında kullandığı bu tür temel bileşenlerdeki bir çatlak tüm savunmayı anlamsız kılıyor. İngiltere'de yaşanan olay, ulusal güvenlik tehditlerinin artık sınır ötesi füzelerle değil, yaygın kullanılan yazılım kütüphanelerindeki sıfırıncı gün açıklarıyla geldiğini gösteriyor. Tek bir hatalı kod bloğu, vergi sistemlerinden sağlık kayıtlarına kadar bütün bir ülkenin dijital sinir sistemini saatler içinde çökertebiliyor.

Kamu Kurumlarına Siber Saldırı Süreci Nasıl İşliyor?

Bu tür geniş çaplı açıklarda saldırganlar, hedeflerini tek tek seçmek yerine otomatik tarama araçlarıyla internete açık tüm savunmasız sunucuları tespit ediyor. İngiltere vakasında, yama yapılmamış PHP sunucuları tespit edildiğinde, bot ağları anında o sunuculara özel zararlı paketler göndermeye başlıyor. Bellek taşması tetiklendiğinde saldırgan, sistemde bir "arka kapı" açıyor. Ardından kurumun ağına sızarak veri tabanlarına ulaşıyor veya fidye yazılımı dağıtarak tüm sistemi şifreliyor. Hükümetin 32 servisi aniden kapatmasının temel nedeni, bu otomatik sızma sürecini fiziksel olarak kesmekti.

Bu Siber Güvenlik Tehdidinden Nasıl Korunulur?

Kritik PHP zafiyetine karşı ilk ve en kesin çözüm, sistemleri derhal güvenli sürümlere yükseltmektir. Ancak kamu kurumları gibi devasa ve hantal mimarilerde, yüzlerce uygulamanın çalıştığı sunucuları anında güncellemek genellikle sistem çöküşlerine yol açar. Bu nedenle CERT-EU gibi siber güvenlik ajansları, yama testi yapılana kadar geçici önlemler öneriyor. İnternete açık hassas hizmetlerin ağdan izole edilmesi (İngiltere'nin yaptığı gibi) veya Web Uygulaması Güvenlik Duvarı (WAF) üzerinden gelen kötü amaçlı HTTP isteklerinin filtrelenmesi ilk savunma hattını oluşturuyor. Uzun vadeli çözüm ise bağımlılık analiz araçları kullanarak yazılım tedarik zincirini sürekli denetlemektir.

Topluluk Ne Düşünüyor?

İngiltere'nin 32 servisi kapatma kararı, siber güvenlik dünyasında yoğun bir tartışma yarattı. Bir grup uzman, hükümetin "fişi çekme" kararını son derece cesur ve yerinde bir hamle olarak değerlendiriyor; zira yama sürecindeki saatler bile geri döndürülemez veri sızıntılarına yol açabilir. Diğer bir kesim ise, modern devlet altyapılarının hala hantal monolitik yapılara ve eski PHP sürümlerine bu kadar bağımlı olmasını sert bir şekilde eleştiriyor. Uzmanlara göre, mikroservis mimarisine geçmeyen ve "sıfır güven" politikası uygulamayan her kurum, benzer krizleri yaşamaya mahkum.

Sıkça Sorulan Sorular

PHP güvenlik açığı son kullanıcıları doğrudan etkiler mi?

Açığın kendisi sunucu tarafındadır, dolayısıyla doğrudan sizin bilgisayarınıza veya telefonunuza bulaşmaz. Ancak kullandığınız e-devlet, bankacılık veya sağlık sisteminin veri tabanı bu açık yüzünden ele geçirilirse, kişisel verileriniz çalınma riskiyle karşı karşıya kalır.

Kamu kurumları neden hemen yama yapamıyor?

Büyük devlet sistemleri, birbiriyle konuşan binlerce eski ve yeni yazılımdan oluşur. Bir çekirdek bileşenini (PHP gibi) güncellemek, diğer uygulamaların çalışmasını durdurabilir. Bu nedenle kurumsal yamalar genellikle haftalar süren uyumluluk testlerinden geçmek zorundadır.

CVE-2026-109618 açığı her PHP sürümünde var mı?

Hayır, bu tür kritik açıklar genellikle belirli sürüm aralıklarını etkiler. Yazılımın en güncel, resmi olarak desteklenen ve yamanmış kararlı sürümünü kullanan sistemler bu tehditten korunur.

Bir ülkenin dijital hizmetlerini ayakta tutan kodların, küresel ölçekli bir krizin de tetikleyicisi olabilmesi, modern teknolojinin en sert gerçeklerinden biridir. Birleşik Krallık örneği, dijital dönüşümün sadece hizmetleri internete taşımakla bitmediğini; o altyapıyı her saniye, her yeni satır kodda koruyabilme kapasitesiyle ölçüldüğünü kanıtladı. Gelecekte, devletlerin siber savunma bütçelerinin büyük kısmını fiziksel sınırlardan ziyade, sunucularındaki açık kaynaklı yazılım bileşenlerini denetlemeye ayıracağı yeni bir döneme giriyoruz.