Av. Emre Alim KILIÇ · İstanbul Barosu ·
PHP2Shell Açığı (CVE-2026-109618 ve CVE-2026-109619): Şirketler ve Kamu Kurumları İçin Hukuki Sorumluluk Rehberi
İnternet siteniz WordPress, WooCommerce, Laravel, Magento ya da başka bir PHP altyapısıyla çalışıyorsa, bu hafta yaşanan PHP2Shell açığı artık yalnızca bilgi işlem ekibinizin değil, yönetim kurulunuzun ve hukuk biriminizin de gündemindedir. 21 Ekim 2026’da PHP’nin çekirdeğinde iki kritik açık duyuruldu, aynı gün yamalar yayımlandı ve Siber Güvenlik Başkanlığı aynı gece ulusal çapta uyarı yaptı. Bu yazıda, açığın kapatılmamasının KVKK, 7545 sayılı Siber Güvenlik Kanunu, Türk Ticaret Kanunu ve ceza hukuku bakımından doğurabileceği sonuçları ve ilk 72 saatte atılması gereken adımları ele alıyoruz.
Kısa cevap: PHP2Shell açığı neden hukuki bir meseledir?
- Açık bilinen bir risktir. Üretici düzeltmeyi yayımladı, ulusal siber güvenlik otoritesi güncellemenin ivedilikle yapılmasını istedi. Bu tarihten sonra “bilmiyorduk” savunması zayıflar.
- KVKK m. 12: Bilinen bir açığı makul sürede kapatmamak, veri güvenliğine ilişkin teknik tedbir yükümlülüğünün ihlali sayılabilir. 2026 yılı için idari para cezası 256.357 TL ile 17.092.242 TL arasındadır.
- 72 saat: Kişisel veri sızdığı anlaşılırsa Kişisel Verileri Koruma Kurulu’na, ihlalin öğrenildiği andan itibaren en geç 72 saat içinde bildirim yapılmalıdır.
- 7545 sayılı Kanun m. 7: Tespit edilen açıklıklar ve siber olaylar Siber Güvenlik Başkanlığına gecikmeksizin bildirilmelidir. Kanun metnindeki ceza 1 ila 10 milyon TL’dir; bu tutar yıllık yeniden değerlemeye tabidir.
- Kişisel sorumluluk: Şirket yöneticileri için TTK m. 369’daki özen yükümlülüğü, kamuda ise hizmet kusuru ve görevliye rücu gündeme gelir.
- Tek etkili çözüm: PHP’yi 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümüne yükseltmek ve bunu yazılı olarak belgelemektir.
PHP2Shell açığı nedir?
PHP, sunucu tarafında çalışan ve dünyadaki internet sitelerinin yaklaşık yüzde 70’inde kullanılan programlama dilidir. PHP2Shell, bu dilin çekirdeğinde bulunan iki güvenlik açığına verilen ortak isimdir: CVE-2026-109618 (bellek yetersizliği sırasında oluşan bozulma) ve CVE-2026-109619 (önceki istekten kalan geçersiz durumun yeniden kullanılması).
Açığı ciddi kılan üç özellik vardır. Birincisi, saldırganın kullanıcı adı veya şifre bilmesine gerek yoktur; araştırmacılar tek bir anonim HTTP isteğiyle sunucuda komut çalıştırılabildiğini doğrulamıştır. İkincisi, açık sitenin kendi kodunda değil PHP motorundadır; eklentileriniz güncel olsa bile sunucudaki PHP eskiyse risk devam eder. Üçüncüsü, araştırmacılar açıkların sunucu belleğindeki şifre, oturum çerezi ve API anahtarı gibi verilerin okunmasına da imkân verebildiğini, bu yönüyle 2014’teki Heartbleed açığına benzediğini belirtmektedir.
PHP2Shell açığı bir bakışta
| Konu | Bilgi (22 Ekim 2026 itibarıyla) |
|---|---|
| Açık kodları | CVE-2026-109618, CVE-2026-109619 |
| Ciddiyet | CVSS v4.0: 9,2 / 10 (PHP güvenlik ekibi); watchTowr 10,0 olarak değerlendirdi |
| Etkilenen sürümler | PHP 5.4’ten bu yana çıkan sürümlerin neredeyse tamamı |
| Düzeltilmiş sürümler | 8.5.12, 8.4.27, 8.3.36, 8.2.35 (21 Ekim 2026, 17.00 TSİ) |
| Desteklenmeyen sürümler | PHP 8.1 ve öncesi; yalnızca bazı Linux dağıtımlarının geri taşıdığı yamalar var |
| Etkilenen yazılımlar | WordPress, WooCommerce, Magento, Drupal, Joomla, Laravel, phpMyAdmin ve PHP ile çalışan her uygulama |
| Varsayılan ayarlarda risk | Evet; session.upload_progress varsayılan olarak açıktır |
| Saldırı durumu | Amazon’un tuzak ağı 17 Ekim’de ilk deneme kaydı tuttu; Cloudflare 21 Ekim sabahı saldırı denemeleri bildirdi |
| Geçici çözüm | Tam koruma sağlayan geçici çözüm yok; güncelleme tek güvenli yol |
Açık, PHP’nin 22 Ekim için planladığı duyurudan önce, 20 Ekim’de ayrıntıların sızması üzerine gündeme geldi; PHP bunun üzerine yamaları bir gün öne çekti. Yani saldırganlar ile savunanlar aynı anda yarışa başladı. Hukuki değerlendirmede bu zaman çizelgesi önemlidir: Yamanın uygulanması için “makul süre”, bu tempoda günlerle değil saatlerle ölçülecektir.
Siber Güvenlik Başkanlığı ne dedi?
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, 21 Ekim 2026 tarihli ve TR-26-1372 kodlu güvenlik bildirimiyle PHP2Shell için ulusal ölçekte güvenlik taraması başlattığını duyurdu ve kurumlara acil bildirim gönderdi. Başkanlık kamu kurumlarını, kritik altyapı işletmecilerini ve özel sektörü sistemlerini gözden geçirmeye ve güncellemeleri ivedilikle uygulamaya çağırdı.
Bildirimde ayrıca iki somut tedbir öne çıktı:
- Yönetim arayüzlerine ve kritik PHP servislerine dışarıdan erişimin, güvenlik duvarı ve erişim listesi kurallarıyla yalnızca yetkili IP adreslerine sınırlandırılması,
- Yurt dışından erişilmesine ihtiyaç olmayan sistemlerin uluslararası trafiğe kapatılması.
Bu açıklama hukuki açıdan bir dönüm noktasıdır. Devletin yetkili otoritesi riski ve alınacak önlemi kamuya ilan etmiştir. Bu andan itibaren bir şirketin veya kurumun durumu, “öngörülemeyen bir saldırıya uğrayan mağdur” olmaktan çıkıp “bildiği halüke önlem almayan veri sorumlusu” konumuna kayabilir.
KVKK açısından PHP2Shell: Yama yönetimi bir teknik tedbir midir?
Evet. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesi, veri sorumlusunu kişisel verilere hukuka aykırı erişimi önlemek için uygun güvenlik düzeyini sağlayacak her türlü teknik ve idari tedbiri almakla yükümlü kılar. Kişisel Verileri Koruma Kurumu’nun Kişisel Veri Güvenliği Rehberi de yazılım güncellemelerini, yama yönetimini ve güvenlik açıklarının izlenmesini bu tedbirler arasında sayar.
Kurul’un siber saldırı kararlarında en sık görülen gerekçe, güncel olmayan yazılım kullanılması ve bilinen açıkların kapatılmamasıdır. Örneğin Kurul, saldırı sonucu 505 bini aşkın müşterisinin verisi ele geçirilen bir şirkete, tedbir eksikliği ve ilgili kişilere bildirim yapılmaması gerekçesiyle toplam 1 milyon TL idari para cezası vermiştir. PHP2Shell gibi üreticinin düzeltme yayımladığı ve devletin uyarı yaptığı bir açıkta, yamanın gecikmesini savunmak bundan da güç olacaktır.
“Bizim sitede kişisel veri yok” savunması çoğu zaman geçersizdir. İletişim formu, üyelik, sipariş, bülten kaydı, iş başvurusu veya müşteri paneli olan her site kişisel veri işler. Ayrıca PHP2Shell’de sızabilecek olan sunucu belleğidir; yönetici şifreleri ve veritabanı erişim bilgileri üzerinden tüm müşteri kayıtlarına ulaşılabilir.
Veri ihlali bildirimi: 72 saat ne zaman başlar?
KVKK m. 12/5, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun durumu en kısa sürede ilgilisine ve Kurul’a bildirmesini ister. Kurul’un 24.01.2019 tarihli ve 2019/10 sayılı kararı, Kurul’a bildirim için bu süreyi en geç 72 saat olarak belirlemiştir.
- Sürenin başlangıcı: İhlalin gerçekleştiği an değil, veri sorumlusunun ihlali öğrendiği andır.
- Bildirim yolu: Kurum’un çevrim içi ihlal bildirim sistemi (ihlalbildirim.kvkk.gov.tr) veya Veri İhlali Bildirim Formu.
- Eksik bilgi: Bilgilerin tamamı hazır değilse bildirim aşamalı yapılabilir; 72 saati aşan bildirimde gecikmenin gerekçesi açıklanmalıdır.
- İlgili kişilere bildirim: Etkilenen kişiler belirlendikten sonra makul en kısa sürede, sade bir dille yapılır.
PHP2Shell’in hukuki açıdan zor yanı şudur: Bellek okuma saldırısı sunucuda belirgin iz bırakmayabilir. Değiştirilmiş dosya veya yabancı bir yönetici hesabı bulamamanız, sızıntı olmadığı anlamına gelmez. Bu yüzden kayıtları incelemeden “etkilenmedik” sonucuna varmak risklidir. İnceleme bir sızıntı belirtisi ortaya koyarsa, 72 saat o incelemenin yapıldığı andan işlemeye başlar. Kayıt hiç tutulmamışsa, bu da ayrı bir tedbir eksikliği olarak değerlendirilebilir.
KVKK idari para cezaları 2026
| Aykırılık | Dayanak | Alt sınır | Üst sınır |
|---|---|---|---|
| Veri güvenliği yükümlülüklerine aykırılık (yama uygulanmaması, ihlal bildiriminin yapılmaması dahil) | KVKK m. 18/1-b | 256.357 TL | 17.092.242 TL |
| Kurul kararlarının yerine getirilmemesi | KVKK m. 18/1-c | 427.263 TL | 17.092.242 TL |
| Aydınlatma yükümlülüğüne aykırılık | KVKK m. 18/1-a | 85.437 TL | 1.709.200 TL |
Tutarlar, 2026 için %25,49 olarak ilan edilen yeniden değerleme oranıyla güncellenmiştir. Kurul cezayı belirlerken kusurun ağırlığını, etkilenen kişi sayısını ve ihlal sonrası tutumu dikkate alır. Yamanın hızla uygulanmış, kayıtların incelenmiş ve bildirimin süresinde yapılmış olması cezayı azaltan en somut unsurlardır. Kurul kararlarına karşı tebliğten itibaren 60 gün içinde idare mahkemesinde iptal davası açılabilir.
7545 sayılı Siber Güvenlik Kanunu: Bildirim yükümlülüğü kimleri kapsar?
19 Mart 2025’te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu yalnızca bankaları veya kritik altyapıları değil, siber uzayda faaliyet gösteren veya hizmet sunan bütün kamu kurumlarını, gerçek ve tüzel kişileri kapsar (m. 2). Kurumsal internet sitesi olan bir şirket de kural olarak Kanun’un muhatabıdır.
PHP2Shell bakımından Kanun’un 7. maddesinin birinci fıkrasının (b) bendi belirleyicidir. Bu bent iki yükümlülük getirir:
- Mevzuatta öngörülen siber güvenlik tedbirlerini almak,
- Tespit edilen açıklıkları ve siber olayları Siber Güvenlik Başkanlığına gecikmeksizin bildirmek.
Kanun, “gecikmeksizin” için saat veya gün belirtmez. Bildirimin eşiklerini ve usulünü düzenlemesi beklenen ikincil mevzuat, Kanun’un öngördüğü bir yıllık süre 19 Mart 2026’da dolmasına rağmen henüz yayımlanmamıştır. Ancak bu, yükümlülüğü askıya almaz: Madde 7 bugün de uygulanabilir durumdadır. Uygulamada “gecikmeksizin” ifadesinin KVKK’daki 72 saatten daha kısa yorumlanması ihtimali de göz ardı edilmemelidir.
Siber Güvenlik Kurulu 5 Mayıs 2026’da 15 kritik altyapı sektörünü belirlemiştir: dijital altyapılar, dijital hizmetler, elektronik haberleşme, enerji, finans, gıda ve tarım, imalat sanayii, kamu hizmetleri, medya ve kriz iletişimi, posta ve kargo, sağlık, savunma sanayii, su yönetimi, ulaştırma ve uzay. Bu sektörlerdeki kuruluşlar için tedarik ve denetim yükümlülükleri daha ağırdır.
7545 sayılı Kanun’daki yaptırımlar
| Fiil | Dayanak | Yaptırım |
|---|---|---|
| Tedbir alma ve açıklık/olay bildirme yükümlülüğüne aykırılık | m. 7/1-b, m. 16/10 | Kanun metninde 1.000.000 – 10.000.000 TL idari para cezası (kamu kurumları hariç) |
| Denetimde sistemlerin açık ve çalışır tutulmaması | m. 8/4, m. 16/11 | 100.000 – 1.000.000 TL; ticaret şirketlerinde brüt satış hasılatının %5’ine kadar |
| Sızan verinin paylaşılması, satışa sunulması | m. 16/4 | 3–5 yıl hapis |
| Sızıntı olmadığı hâlde sızıntı varmış gibi içerik yaymak | m. 16/5 | 2–5 yıl hapis |
| Milli gücü oluşturan unsurlara siber saldırı | m. 16/6 | 8–12 yıl hapis; verinin yayılması hâlinde 10–15 yıl |
Dikkat edilmesi gereken bir ayrıntı: 1–10 milyon TL, Kanun’un 2025’teki nominal tutarıdır. Kabahatler Kanunu m. 17/7 uyarınca idari para cezaları her yıl yeniden değerleme oranında artar. %25,49 oranı uygulandığında 2026 için aralık yaklaşık 1.254.900 TL – 12.549.000 TL olur. Başkanlık bu konuda resmî bir tablo ilan etmemiştir; somut dosyada uygulanacak tutar ayrıca teyit edilmelidir.
KVKK bildirimi ile Siber Güvenlik Başkanlığı bildirimi arasındaki fark
| KVKK (Kişisel Verileri Koruma Kurulu) | 7545 sayılı Kanun (Siber Güvenlik Başkanlığı) | |
|---|---|---|
| Ne zaman doğar? | Kişisel veri başkalarınca elde edildiğinde | Açıklık veya siber olay tespit edildiğinde (kişisel veri şartı yok) |
| Süre | Öğrenmeden itibaren en geç 72 saat | Gecikmeksizin (sayısal süre yok) |
| Kime? | Kurul ve etkilenen kişiler | Siber Güvenlik Başkanlığı (USOM/SOME kanalları) |
| Ceza (2026) | 256.357 – 17.092.242 TL | Yaklaşık 1,25 – 12,55 milyon TL |
Aynı olay her iki bildirimi birden gerektirebilir. İkisini paralel yürütmek ve birinde verilen bilginin diğerinde çelişmemesine dikkat etmek gerekir.
Yönetim kurulu ve şirket yöneticilerinin kişisel sorumluluğu
6102 sayılı Türk Ticaret Kanunu m. 369, anonim şirket yönetim kurulu üyelerinin görevlerini tedbirli bir yöneticinin özeniyle yerine getirmesini ister. Aynı Kanun’un 375. maddesi şirket yönetimi için gerekli düzenin kurulmasını ve yönetimle görevli kişilerin üst gözetimini yönetim kurulunun devredilemez görevleri arasında sayar. Bilgi sistemlerinin güvenliği, bugün bu düzenin ayırt edilemez parçasıdır. Limited şirket müdürleri için de TTK m. 626 aynı özen ölçütünü getirir.
Yönetim kurulu bilgi güvenliğini bir bilgi işlem müdürüne veya dış firmaya devredebilir. Bu durumda TTK m. 553/2 uyarınca, devralanı seçerken makul özeni gösterdiğini ispat eden yönetici onun fiillerinden sorumlu tutulmaz. Ancak üst gözetim görevi yönetim kurulunda kalır. Ulusal uyarı konusu olmuş bir açık karşısında hiçbir karar alınmaması, bu gözetim yükümlülüğünün ihlali olarak yorumlanmaya açıktır.
Pratik öneri basittir: PHP2Shell için alınan kararları (güncelleme talimatı, geçici kapatma, tedarikçiye yazı, kayıt incelemesi) yönetim kurulu kararı veya toplantı tutanağıyla kayıt altına alın. Bu belge, ileride hem özen yükümlülüğünün yerine getirildiğinin hem de sigorta teminatının en güçlü delilidir.
Siber sigorta notu: Siber sigorta poliçelerinin çoğu, üreticinin yayımladığı yamaların makul sürede uygulanmasını teminat şartı sayar veya bilinen açıklardan doğan zararları teminat dışı bırakır. Poliçenizdeki “yama yönetimi” ve “bildirim süresi” maddelerini bugün kontrol edin.
Sitenizi ajans veya hosting firması yönetiyorsa sorumluluk kimde?
Türkiye’de şirketlerin çoğu sitesini bir yazılım ajansına yaptırır ve bir barındırma (hosting) firmasında tutar. Bu durum sorumluluğu ortadan kaldırmaz, yalnızca paylaştırır.
- Düzenleyiciye karşı: KVKK açısından veri sorumlusu siz, ajans ve hosting firması kural olarak veri işleyendir. KVKK m. 12/2 uyarınca veri işleyen, güvenlik tedbirlerinden sizinle birlikte sorumludur. Kurul cezayı kural olarak veri sorumlusuna verir ve tedarikçinin denetlenip denetlenmediğine bakar.
- Tedarikçiye karşı: 6098 sayılı Türk Borçlar Kanunu m. 112 uyarınca borcunu gereği gibi ifa etmeyen tedarikçi, kusursuzluğunu ispat edemedikçe zarardan sorumludur. M. 116 uyarınca alt yüklenicilerinin (örneğin veri merkezi) davranışından da sorumlu olur.
- Sorumsuzluk kayıtları: Sözleşmelerdeki “güvenlik olaylarından sorumlu değiliz” hükümleri, TBK m. 115 uyarınca ağır kusur hâlinde geçersizdir. Ulusal uyarıya rağmen günlerce yama yapılmaması, somut olayda ağır kusur sayılabilir.
- Dava öncesi: Ticari işlerde para alacağına ilişkin tazminat davasından önce TTK m. 5/A uyarınca arabulucuya başvurmak zorunludur.
Tedarikçi sözleşmenizde bugün kontrol etmeniz gereken dört madde
- Kritik yama süresi: Kritik açıkların kaç saat içinde kapatılacağı yazılı mı? Değilse bugün yazılı talimat verin ve cevabı saklayın.
- Olay bildirimi: Tedarikçi bir saldırı belirtisini size kaç saat içinde bildirecek? KVKK’daki 72 saat sizin için işler; tedarikçinin gecikmesi sizi korumaz.
- Kayıt (log) erişimi: Web sunucusu ve PHP kayıtları ne kadar süre saklanıyor ve talep ettiğinizde size verilecek mi?
- Sorumluluk sınırı: Tazminat üst sınırı ve istisnalar neler? Ağır kusurda sınırlamanın geçersiz olduğunu unutmayın.
Kamu kurumları için: Hizmet kusuru ve görevlinin sorumluluğu
Kamu kurumları için yama yönetimi yeni bir yükümlülük değildir. 2019/12 sayılı Cumhurbaşkanlığı Genelgesi üzerine hazırlanan Bilgi ve İletişim Güvenliği Rehberi, kurumların güvenlik açıklarını izlemesini, yamaları önceliklendirerek uygulamasını ve siber olayları Kurumsal SOME aracılığıyla bildirmesini zaten öngörür. Belediye, üniversite ve il müdürlüğü sitelerinin önemli bir kısmı PHP tabanlı olduğu için kamu bu açıktan en çok etkilenen kesimlerden biridir.
Bilinen ve resmen duyurulan bir açığın kapatılmaması yüzünden vatandaşların verisi sızarsa, bu durum Anayasa m. 125 çerçevesinde hizmet kusuru olarak nitelendirilebilir. Zarar gören kişi, 2577 sayılı İYUK m. 13 uyarınca önce idareye başvurup ardından tam yargı davası açabilir. İdare ödediği tazminatı Anayasa m. 129/5 ve 657 sayılı Devlet Memurları Kanunu m. 13 uyarınca kusurlu görevliye rücu edebilir.
Güncellemenin bütçe, onay veya uyumluluk gerekçesiyle ertelenmesi gerekiyorsa, bu kararın gerekçesi, alınan telafi edici önlemler (erişim kısıtlama, geçici kapatma) ve yeni takvim yazılı olarak kayıt altına alınmalı ve üst yöneticiye bildirilmelidir. Görevlinin kişisel sorumluluğunu sınırlayan en etkili araç budur.
Saldırıya uğradıysanız: Ceza hukuku boyutu ve delil koruma
Siber saldırıya uğramak tek başına hukuka aykırılık değildir; saldırgan fail, kurum mağdurdur. PHP2Shell’i kullanarak sisteme giren kişi, olayın özelliklerine göre şu suçları işler:
- TCK m. 243: Bilişim sistemine girme,
- TCK m. 244: Sistemi engelleme, bozma, verileri yok etme veya değiştirme (bir yıldan beş yıla kadar hapis), bu yolla haksız yarar sağlama,
- TCK m. 136: Kişisel verileri hukuka aykırı olarak ele geçirme veya yayma (iki yıldan dört yıla kadar hapis),
- Fidye talebi varsa TCK m. 107 (şantaj); kart bilgisi kullanılırsa TCK m. 245.
Mağdur kurumun ilk işi delilleri korumaktır. Sunucuyu silip yeniden kurmak saldırganın izlerini de siler. Önce disk imajı ve mümkünse bellek dökümü alınmalı, web sunucusu, PHP-FPM ve sistem kayıtları ayrı bir ortama kopyalanmalı, hash değerleriyle tutanak altına alınmalıdır. Ancak bundan sonra temiz kurulum yapılmalıdır. Bu adımlar, ileride CMK m. 134 kapsamında delillerin hukuka uygunluğunun tartışılmasının da önüne geçer.
Suç duyurusu Cumhuriyet başsavcılığına veya kolluk birimlerinin siber suçlarla mücadele şubelerine yapılır. Dilekçeye olayın zaman çizelgesi, etkilenen sistemler ve korunan delillerin listesi eklenmelidir.
Bir uyarı daha: Bir kurumun “hacklendiği” yönünde doğrulanmamış iddiaları sosyal medyada yaymak, iddia gerçeğe aykırı çıkarsa 7545 sayılı Kanun m. 16/5 kapsamında suç oluşturabilir. Sızdırıldığı iddia edilen veri setlerini indirip paylaşmak da ayrı bir suçtur.
Verisi sızan müşteri veya vatandaş tazminat isteyebilir mi?
Evet. Kişisel verisi sızan kişi, KVKK m. 11/1-ğ uyarınca uğradığı zararın giderilmesini talep edebilir. Bu talep özel hukukta TBK m. 49 (haksız fiil) ve m. 58 (kişilik hakkı ihlalinde manevi tazminat) hükümlerine, sözleşme ilişkisi varsa TBK m. 112’ye dayanır. Tüketici işlemlerinde tüketici hakem heyeti ve tüketici mahkemesi görevlidir; kamu kurumlarına karşı talepler idare mahkemesinde tam yargı davasıyla ileri sürülür.
Kurul’un verdiği idari para cezası, tazminat davasında kusurun ispatını fiilen kolaylaştırır. Türk hukukunda toplu dava bulunmasa da aynı olaydan etkilenen çok sayıda kişinin ayrı ayrı dava açması, kurum için idari para cezasından daha ağır bir yük oluşturabilir.
PHP2Shell açığı sonrası ilk 72 saat: Hukuki kontrol listesi
Aşağıdaki adımlar teknik ekibin yama çalışmasıyla eş zamanlı yürütülmelidir. Her adımın tarihini ve saatini kaydedin; bu kayıtlar ileride kusursuzluğunuzun en önemli delilidir.
- Envanter çıkarın. PHP çalıştıran tüm sistemleri listeleyin: kurumsal site, e-ticaret, bayi paneli, intranet, e-posta arayüzü, phpMyAdmin, unutulmuş test ve alt alan adları. Her birinin PHP sürümünü ve sorumlusunu yazın.
- Güncelleyin veya erişimi kesin. PHP’yi 8.5.12, 8.4.27, 8.3.36 veya 8.2.35’e yükseltin. Hemen güncellenemeyen sistemi internetten ayırın veya erişimi kısıtlayın; kararı ve gerekçesini yazılı hâle getirin.
- Tedarikçiden yazılı teyit alın. Ajans ve hosting firmasından güncellemenin yapıldığına dair yazılı teyit, güncel PHP sürüm bilgisi ve son 30 günün erişim kayıtlarını isteyin. Cevap gelmezse noter ihtarını değerlendirin.
- Kayıtları inceletin. Olağan dışı çok parçalı (multipart/form-data) istekleri, bellek sınırı hatalarını, tekrarlayan HTTP 500 cevaplarını ve beklenmedik PHP süreç yeniden başlatmalarını arayın. İncelemenin tarihini ve sonucunu tutanağa bağlayın.
- İhlal değerlendirmesi yapın. Sızıntı belirtisi varsa ihlal o anda “öğrenilmiş” sayılır ve 72 saat işlemeye başlar. Belirti yoksa bu sonucu da gerekçesiyle kayıt altına alın.
- Bildirimleri paralel yürütün. Kişisel Verileri Koruma Kurulu, Siber Güvenlik Başkanlığı, varsa sektörel düzenleyici (BDDK, SPK, BTK, TCMB), sigorta şirketi ve etkilenen kişiler.
- Delilleri koruyun. Sızıntı şüphesinde önce disk imajı alın, sonra kurulum yapın; gerekirse suç duyurusunda bulunun.
- Şifreleri ve anahtarları yenileyin. Bellek sızıntısı ihtimaline karşı yönetici parolaları, veritabanı şifreleri, API anahtarları ve gerekirse TLS sertifikaları güncelleme sonrasında değiştirilmelidir.
- Yönetime raporlayın. Alınan kararları yönetim kurulu kararı veya üst yönetici onayıyla kayda geçirin.
- Sözleşme ve poliçeleri gözden geçirin. Tedarikçi sözleşmelerine kritik yama süresi ve olay bildirimi maddeleri ekleyin; siber sigorta şartlarını kontrol edin.
Sık yapılan hatalar
- Eklentileri güncelleyip PHP’yi unutmak. Açık WordPress’te değil, onu çalıştıran PHP’dedir.
- Yalnızca ayar değişikliğiyle yetinmek. session.upload_progress’in kapatılması gibi geçici önlemler tam koruma sağlamaz.
- Sunucuyu hemen silmek. Saldırı izleri de kaybolur; önce imaj, sonra kurulum.
- Bildirimi “kesin bilgi gelince” yapmak. Kurul aşamalı bildirimi kabul eder; beklemek süreyi kaçırmanıza yol açar.
- Tedarikçinin sözüne güvenmek. Sözlü “hallettik” cevabı delil değildir; yazılı teyit ve sürüm bilgisi isteyin.
Sıkça sorulan sorular
WordPress sitem PHP2Shell açığından etkilenir mi?
Büyük ihtimalle evet. Açık WordPress’te değil, WordPress’i çalıştıran PHP’dedir. Sunucunuzdaki PHP sürümü 8.5.12, 8.4.27, 8.3.36 veya 8.2.35’ten eskiyse risk altındasınız. Hosting firmanızdan sürüm bilgisini yazılı olarak isteyin.
Açık vardı ama saldırı belirtisi yok. KVKK’ya bildirim yapmalı mıyız?
Açığın varlığı tek başına KVKK bildirimi gerektirmez; yükümlülük kişisel verinin başkalarınca elde edilmesiyle doğar. Ancak bellek okuma saldırısı iz bırakmayabileceği için kayıtları inceletin ve sonucu yazılı saklayın. Belirti bulunursa 72 saat o andan itibaren işler.
KVKK’ya veri ihlali bildiriminde 72 saat ne zaman başlar?
Kurul’un 2019/10 sayılı kararına göre süre, veri sorumlusunun ihlali öğrendiği andan başlar; ihlalin gerçekleştiği tarihten değil. Bilgiler eksikse bildirim aşamalı tamamlanabilir.
Siber Güvenlik Başkanlığına bildirim yapmak zorunlu mu?
7545 sayılı Kanun m. 7/1-b, tespit edilen açıklık ve siber olayların gecikmeksizin Başkanlığa bildirilmesini zorunlu tutar. Bildirim usulünü düzenleyecek ikincil mevzuat henüz yayımlanmadığı için, gerçek bir saldırı veya sızıntı tespitinde Başkanlığın resmî kanalları üzerinden bildirim yapılması önerilir. Kanun metnindeki ceza 1 ila 10 milyon TL’dir ve yıllık yeniden değerlemeye tabidir.
Hosting firması güncelleme yapmazsa ceza kime kesilir?
KVKK açısından veri sorumlusu sizsiniz; ceza kural olarak size verilir. Hosting firması veri işleyen olarak sizinle birlikte sorumludur ve sözleşmeye dayanarak ona rücu edebilirsiniz. Tedarikçiyi denetlediğinizi gösteren yazışmalar burada belirleyicidir.
Şirket yöneticileri kişisel olarak sorumlu tutulabilir mi?
Evet, TTK m. 369 ve m. 553 çerçevesinde, ulusal uyarı konusu bir açığa karşı hiçbir karar almayan veya görevlendirdiği kişileri gözetmeyen yöneticilerin şirkete ve pay sahiplerine karşı sorumluluğu gündeme gelebilir. Alınan kararların tutanağa geçirilmesi bu riski önemli ölçüde azaltır.
Sonuç
PHP2Shell açığı, teknik bir yamanın saatler içinde hukuki bir yükümlülüğe dönüşebildiğinin açık bir örneğidir. Siber saldırıya uğramak tek başına hukuka aykırılık oluşturmaz; ancak önlenebilir bir saldırının önlenmemesi idari, hukuki ve kişisel sorumluluk doğurur. Bugün yapılacak güncelleme ve bu güncellemenin yazılı olarak belgelenmesi, yarın bir Kurul soruşturmasında veya tazminat davasında en güçlü savunmanız olacaktır.
Avukat Emre Alim KILIÇ Hukuk ve Danışmanlık olarak; PHP2Shell sonrası risk değerlendirmesi, KVKK ve Siber Güvenlik Başkanlığı bildirimlerinin hazırlanması, tedarikçilere ihtar ve tazminat talepleri, suç duyurusu ve idari para cezalarına karşı dava süreçlerinde destek veriyoruz. İletişime geçin
Bu yazı 22 Ekim 2026 itibarıyla yürürlükteki mevzuat, PHP güvenlik ekibinin ve güvenlik araştırmacılarının duyuruları ile Siber Güvenlik Başkanlığının açıklaması esas alınarak genel bilgilendirme amacıyla hazırlanmıştır; hukuki danışmanlık yerine geçmez. Olay gelişmekte olduğundan yeni resmî duyurularla güncellenecektir.