PHP'deki Güvenlik Açığı Berlin'deki Kamu Kurumlarının Web Sitelerini Çökertti; Çoğu Yeniden Erişime Açıldı

21 Ekim 2026 civarında güvenlik araştırmacıları, dünyadaki web sitelerinin büyük bölümünün temelini oluşturan betik dili PHP'de CVE-2026-109618 ve CVE-2026-109619 olarak kodlanan ve birlikte 'PHP2Shell' adıyla anılan iki kritik güvenlik açığını kamuoyuna açıkladı. Bu açıklar, kimlik doğrulaması yapmamış bir saldırganın etkilenen bir sunucuda istediği kodu çalıştırmasına izin verebiliyordu. Almanya Federal Bilgi Güvenliği Dairesi (BSI), 'turuncu' seviyede acil bir uyarı yayınlayarak 'bugün' PHP 8.5.12 sürümüne hemen geçilmesi çağrısında bulundu.

Berlin'de üniversite hastanesi Charité, Freie Universität (Hür Üniversite), Humboldt Üniversitesi, Berlin İtfaiyesi'nin (Berliner Feuerwehr) web sitesi ve Berliner Tafel gıda bankası, önlem olarak sitelerini kapattı. Hem Berlin'de hem de Brandenburg'da polisin internet üzerinden şikayet bildirme portalı (Internetwache) da erişime kapandı.

PHP geliştiricileri çarşamba öğleden sonra yama uygulanmış bir sürüm yayınladı. Perşembe günü itibarıyla Charité, Freie Universität, Berlin S-Bahn'ı ve berlin.de siteleri büyük ölçüde yeniden erişime açıldı. Brandenburg polis portalı perşembe akşamı itibarıyla hâlâ erişime kapalıydı. Federal Dijitalleşme Bakanı Karsten Wildberger, federal sistemlerin bu durumdan etkilenmediğini söyledi; ancak olayı, 'siber güvenlikte yeni bir döneme giriyoruz' sözleriyle değerlendirdi.