Avrupa'da yaygın olarak kullanılan PHP yazılım dilinde ortaya çıkan iki kritik güvenlik açığı, birçok ülkede kamu hizmetlerinin internet üzerinden sunulmasını olumsuz etkiledi. Siber saldırı riskinin yüksek olması nedeniyle çok sayıda kurum, sistemlerini korumak amacıyla internet sitelerini geçici olarak erişime kapattı.

21 Ekim 2026 tarihinde yaşanan gelişmelerin ardından özellikle Belçika ve Hollanda'da geniş çaplı tedbirler alındı. Fransa, Almanya ve Finlandiya'da da bazı kamu kurumları dijital hizmetlerini durdurdu.

Avrupa Birliği'nin siber güvenlik birimleri, internet üzerinden erişilebilen PHP tabanlı sistemlerin hızla güncellenmesi gerektiğini belirterek kurumlara uyarıda bulundu.

Belçika'da bakanlıkların internet siteleri kapatıldı

Güvenlik açığından en fazla etkilenen ülkelerden biri Belçika oldu.

Avrupa Birliği kurumlarının önemli bir bölümüne ev sahipliği yapan ülkede Dışişleri Bakanlığı, Maliye Bakanlığı ve Çalışma Bakanlığına ait internet siteleri güvenlik önlemleri kapsamında geçici olarak erişime kapatıldı.

Belçika'nın Flaman bölgesindeki çok sayıda kamu internet sitesi de devre dışı bırakılırken, bazı hastanelerin çevrim içi hizmetlerinde kesintiler yaşandı.

Ülkede medya kuruluşları ve eğitim platformları da alınan tedbirlerden etkilendi.

Belçika Siber Güvenlik Merkezi (CCB), ilk açıklamalarında ülke genelinde doğrulanmış bir saldırı tespit edilmediğini bildirdi. Ancak güvenlik açıklarının taşıdığı risk nedeniyle sistemlerin geçici olarak kapatılmasını tavsiye etti.

CCB'nin kendi internet sitesi de önlem amacıyla bir süre erişime kapatıldı.

Hollanda'da dijital kimlik sistemi de etkilendi

PHP kaynaklı güvenlik alarmı Hollanda'da da çok sayıda kamu hizmetini etkiledi.

Ülkenin ulusal dijital kimlik sistemi DigiD, güvenlik önlemleri kapsamında erişime kapatılan hizmetler arasında yer aldı.

Rotterdam Limanı'na ait dijital portal, Schiphol Havalimanı'nın mobil uygulaması ve Hollanda Temsilciler Meclisinin internet siteleri de tedbirlerden etkilendi.

Hollanda hükümeti, vatandaşların kamu hizmetlerine erişim sağladığı bazı platformların geçici olarak kapatıldığını doğruladı.

Benzer şekilde Fransa'da emniyet birimlerine ait internet siteleri, Almanya ve Finlandiya'da ise çeşitli kamu kurumlarının dijital hizmetleri önlem amacıyla devre dışı bırakıldı.

İki kritik güvenlik açığı tespit edildi

Avrupa genelinde alınan önlemlerin temelinde, PHP yazılım dilinde tespit edilen iki ciddi güvenlik açığı bulunuyor.

CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlanan açıkların, belirli koşullarda saldırganların savunmasız sunucularda uzaktan zararlı kod çalıştırmasına imkân verebileceği açıklandı.

Siber güvenlik uzmanları, bu durumun internet sitelerinin kontrolünün ele geçirilmesi, verilerin açığa çıkması veya çeşitli çevrim içi hizmetlerin çalışamaz hale gelmesi gibi sonuçlar doğurabileceği uyarısında bulundu.

Güvenlik açıklarının yaygın bir yazılım altyapısında bulunması, yalnızca kamu kurumlarını değil, özel şirketleri ve internet üzerinden hizmet veren diğer kuruluşları da harekete geçirdi.

Siber saldırı mı, güvenlik önlemi mi?

Avrupa'da çok sayıda internet sitesinin aynı dönemde kapanması, geniş çaplı bir siber saldırı yaşandığı yönünde endişelere neden oldu.

Ancak yetkililer, sitelerin önemli bölümünün başarılı bir saldırı sonucunda değil, olası saldırıları önlemek amacıyla kapatıldığını bildirdi.

Bazı siber güvenlik şirketleri güvenlik açıklarının kullanılmasına yönelik girişimler gözlemlediklerini açıklarken, etkilenen tüm sistemlerde veri ihlali yaşandığına ilişkin doğrulanmış bir bulgu bulunmuyor.

Bu nedenle alınan tedbirlerin, olası saldırılar gerçekleşmeden önce savunmasız sistemlerin korunmasını amaçladığı belirtildi.

PHP için acil güvenlik güncellemesi yayımlandı

PHP geliştiricileri, 21 Ekim 2026 tarihinde iki kritik güvenlik açığını gidermeye yönelik güncellemeleri kullanıma sundu.

PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerinin yayımlandığı açıklanırken, internet sitesi yöneticilerinin sistemlerini vakit kaybetmeden güncellemeleri istendi.

Avrupa Birliği Siber Güvenlik Ajansı (ENISA) ve ilgili kurumlar da özellikle internete açık sunucuların öncelikli olarak korunması gerektiğini vurguladı.

İnternet siteleri ne zaman açılacak?

Avrupa genelinde tedbir amacıyla kapatılan internet sitelerinin tamamının ne zaman yeniden erişime açılacağına ilişkin ortak bir tarih açıklanmadı.

Kurumların, güvenlik güncellemelerini yükledikten ve sistemlerinin güvenliğini kontrol ettikten sonra dijital hizmetlerini kademeli olarak yeniden başlatması bekleniyor.

Yaşanan gelişme, kamu hizmetlerinden bankacılığa, sağlık sistemlerinden eğitim platformlarına kadar çok sayıda dijital hizmetin ortak yazılım altyapılarındaki güvenlik açıklarından etkilenebileceğini bir kez daha ortaya koydu.