PHP2Shell Güvenlik Açıkları ve Küresel Siber Güvenlik Uyarısı (2026)

PHP2Shell, internet sitelerinin ve web uygulamalarının geliştirilmesinde yaygın olarak kullanılan PHP programlama dilinin çalışma ortamında tespit edilen ve CVE-2026-109618 ile CVE-2026-109619 tanımlayıcılarıyla kayıt altına alınan iki kritik güvenlik açığına verilen ortak addır. Açıklar, hesabı bulunmayan bir saldırganın web sunucusunda kod çalıştırmasına imkan tanıyabilecek niteliktedir.^【1】 Yapay zeka modellerinin yardımıyla tespit edilen açıklara yönelik güvenlik güncellemeleri 21 Ekim 2026 tarihinde yayımlanmıştır. Bu süreçte birçok ülkenin siber güvenlik kurumları, düzeltmeleri zamanında uygulayamayan kuruluşlara etkilenen siteleri çevrim dışı bırakmayı değerlendirmeleri yönünde uyarıda bulunmuş; Avrupa'da çok sayıda hükümet, okul ve hastane sitesi tedbir amacıyla erişime kapatılmıştır.^【2】

PHP, açılımı “PHP: Hypertext Preprocessor” olan ve web geliştirme amacıyla tasarlanmış, sunucu tarafında çalışan bir betik dilidir. Dil, web sunucusu üzerinde çalışarak dinamik sayfa içeriği üretmekte, veri tabanlarıyla etkileşim kurmakta ve nihai HTML çıktısını kullanıcının tarayıcısına iletmeden önce arka uç uygulama mantığını yürütmektedir. PHP ayrıca çeşitli başka ürünlerde de kullanılmaktadır.^【3】 Başlıca işletim sistemlerinin çoğunda çalışan dil, doğrudan web sunucularında çalıştırılabilmekte ve dinamik web sayfaları oluşturmak amacıyla HTML içine eklenebilmektedir.^【4】

Kökeni 1990'ların başına uzanan dilin adı, başlangıçta “Personal Home Page” ifadesinin kısaltmasıdır. PHP; WordPress, Drupal, Joomla ve Magento tabanlı sitelerin yapısında yer almaktadır. Dil, gönüllüler tarafından sürdürülen ücretsiz ve açık kaynak kodlu bir yazılımdır.^【5】 Yazılımın geliştirilmesi ve bakımı PHP Vakfı (PHP Foundation) tarafından denetlenmektedir.^【6】 2000'li yıllardan itibaren uluslararası alanda web siteleri oluşturmak için kullanılan PHP; çevrim içi mağazalar, Vikipedi ve WordPress gibi çok sayıda platformun altyapısını oluşturmaktadır.^【7】

PHP2Shell adıyla anılan açıklar, herhangi bir uygulamada değil doğrudan PHP çalışma ortamında (runtime) yer almaktadır. Bu nedenle bir sitenin kendi kodu güvenli olsa dahi site açıklardan etkilenebilmektedir. Her iki açık da CVSS v4.0 ölçeğinde 9,2 puanla derecelendirilmiştir.^【8】 ABD Ulusal Güvenlik Ajansı (NSA), açıkların barındırılan uygulamada veya onun yapılandırmasında değil, PHP'nin kendisinde bulunduğunu ve etkilenen PHP sürümlerini çalıştıran sunucuların istismar edilebilir olduğunu bildirmiştir.^【9】

İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), söz konusu sorunun saldırganın PHP'de bellek yetersizliği (out-of-memory, OOM) durumu tetiklemesine ve bunun sonucunda bellek bozulmasına yol açabileceğini, bu bozulmanın belirli koşullar altında kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma amacıyla istismar edilebileceğini açıklamıştır.^【10】

Her iki açık da belleğin bazı bölümlerine uygun yetki olmaksızın erişilmesine ve bu erişimin kötü amaçlı kod çalıştırmak için kullanılmasına dayanmaktadır. Bu açıklar, saldırganın parola veya meşru hesap erişimine ihtiyaç duymadan internet üzerinden sunucuda uzaktan komut çalıştırabilmesi anlamına gelmektedir.^【11】

Bellek yetersizliğinden kaynaklanan bozulma (OOM corruption) olarak tanımlanan bu açıkta, bellek yetersizliği nedeniyle savunmasız bir işlemin yarıda kesilmesi, PHP’nin istek verilerini eksik ve hatalı bir durumda bırakmasına yol açmaktadır. Temizleme işlemlerinin bu verileri işlemesi ise saldırganların uzaktan kod çalıştırmasına imkân tanıyabilmektedir.^【12】

Eskimiş küresel durum (stale global state) olarak tanımlanan bu açıkta, bir isteğe ait dahili bilgiler, bu bilgilerin tutulduğu bellek serbest bırakıldıktan sonra da sistemde kalabilmektedir. Aynı işçi süreç (worker) tarafından işlenen sonraki bir istek, sistem bu bilgileri sıfırlamadan önce kullanabilmektedir.^【13】 Bu durum, serbest bırakılmış belleğin yeniden kullanılması (use-after-free) adı verilen bir hataya yol açmaktadır. Araştırmacılar, bu hatadan yararlanılarak uzaktan kod çalıştırılabildiğini göstermiştir.^【14】

Saldırgan, öncelikle kod çalıştırma yetkisi elde etmeden de PHP işçi sürecinin belleğini okuyabilmektedir. Bu bellekte diğer isteklere ait parolalar, kimlik doğrulama belirteçleri, API anahtarları ve sertifikalar bulunabilmektedir. Araştırmacılar, canlı işçi belleğinin okunmasını kontrol etmedikleri uygulamalara karşı göstermiş; bu yöntemin PHP üzerinde çalışan uygulamadan bağımsız olduğu ortaya konmuştur.^【15】

Web isteklerine hizmet veren tüm PHP kurulumları açıklardan etkilenmektedir. Bunlar arasında PHP-FPM, mod_php ile Apache, php-cgi, FrankenPHP ve LiteSpeed yer almaktadır. Risk, özellikle mod_php kullanılan yapılandırmalarda daha yüksektir. Araştırmacıların gösterdiği istismar yönteminde, saldırının başlatılması için kimlik doğrulaması gerektirmeyen tek bir isteğin gönderilmesi yeterli olmakta ve saldırı, uygulamanın kendi kodu çalışmaya başlamadan önce gerçekleşebilmektedir.^【16】

Güvenlik açıkları web sitelerinin kodlarından değil, PHP'nin kendisinden kaynaklanmaktadır. Bu nedenle, savunmasız bir PHP sürümü kullanan ve yalnızca “Hello World” yazısını gösteren basit bir web sayfası bile saldırıya uğrayabilmektedir.^【17】

NCSC, PHP'nin herhangi bir sürümünü kullanan kuruluşların etkilendiğini bildirmiştir.^【18】 Avrupa Birliği Bilgisayar Acil Müdahale Ekibi (CERT-EU), açıkların 2004 yılında kullanıma sunulan PHP 5 ve sonraki tüm sürümleri etkileyebileceğini açıklamıştır.^【19】

Siber güvenlik şirketi watchTowr de açıkların PHP 5'ten itibaren tüm PHP sürümlerini etkilediğini bildirmiştir.^【20】 Drupal Derneği Geçici İcra Kurulu Başkanı Tiffany Farriss, “Son 20 yılda yayımlanmış herhangi bir PHP sürümünü kullanan tüm sunucular savunmasız olacaktır. Bu sorun internetin çoğunluğunu etkilemektedir.” ifadesini kullanmıştır.^【21】

Açıklar Wiz Research, Calif ve OpenAI bünyesindeki Codex Security ekibi tarafından bulunarak bildirilmiştir. Düzeltme sürecinde PHP güvenlik ekibi ve Google'ın Gemini ekibiyle birlikte çalışılmıştır. Söz konusu kod, PHP'de on yılı aşkın süredir bulunmaktadır.^【22】 Calif, blog yazısında açıkları 1 Ağustos 2026'da bir büyük dil modelinin yardımıyla bulduğunu ve o tarihten itibaren bir düzeltme üzerinde çalıştığını açıklamıştır.^【23】 OpenAI ile birlikte çalışan Calif araştırmacıları birinci açığı 11 Ağustos'ta, Alphabet'e ait güvenlik şirketi Wiz ise ikinci açığı 24 Ağustos'ta bildirmiştir.^【24】

Wiz, açıkları otonom yapay zekâ zafiyet araştırma aracı Wiz Atlas ile Google'ın Gemini 4 Argon ve OpenAI'ın GPT-5.6 Sol modellerinin yardımıyla keşfettiğini açıklamıştır. Calif ve Wiz, keşif sürecinde birbirleriyle, PHP ekibiyle ve OpenAI ile koordinasyon içinde olduklarını belirtmiştir.

Calif ve PHP Vakfı, OpenAI tarafından başlatılan Patch the Planet adlı programın katılımcıları arasında yer almıştır. Bu program kapsamında katılımcılara web geliştirme dilindeki açıkları bulmak ve düzeltmek amacıyla OpenAI'ın gelişmiş yapay zeka araçlarına erişim imkanı sağlanmıştır. OpenAI, şirket bünyesindeki bir araştırmacının da sorunu diğer şirketlerle yaklaşık aynı dönemde keşfettiğini açıklamıştır. On yılı aşkın süre fark edilmeyen açıklar, gelişmiş yapay zekâ araçlarının birkaç hafta kullanılmasının ardından ağustos ayında tespit edilmiştir.^【25】

OpenAI, iki ay boyunca PHP'deki açıkları gidermek amacıyla araştırmacılar, güvenlik sağlayıcıları ve diğer paydaşlardan oluşan bir koalisyona öncülük ettiğini bildirmiştir. Şirket, “Düzeltmelere ve sürümün yayımlanmasına PHP'nin bakımını üstlenenler öncülük etti; ekiplerimiz ile Wiz, Cloudflare ve diğerleri gibi ortaklarımız, açıklama öncesinde korumaları hazırlamak için araştırma, teknik destek ve koordinasyon katkısı sağladı.” açıklamasını yapmıştır. OpenAI, açıkları “yakın zamanın en etkili güvenlik sorunlarından biri” olarak nitelendirmiş ve yapay zekanın açıkları herhangi bir saldırgandan önce bulmuş göründüğünü belirtmiştir.

Şirket ayrıca “Ne kadar önemli olsalar da bu hatalar, şimdiden bulduğumuz ve düzeltmek için çalıştığımız birkaç önemli güvenlik açığı arasında yer alıyor ve benzer bulguların önümüzdeki aylarda keskin biçimde artmasını bekliyoruz.” demiştir.^【26】

OpenAI, olayın yapay zekanın güvenlik açıklarını nasıl ortaya çıkarabildiğini gösterdiğini, ancak aynı zamanda saldırganların “saldırı araçlarını ve istismarları hızla geliştirmesine” de yardımcı olabileceğini belirtmiştir. Şirket, PHP platformunun güvenli olup olmadığını kontrol etmeye yönelik bir program yayımladığını açıklamıştır.^【27】

Wiz araştırmacıları, “Bu bulgular, PHP'de ve muhtemelen yazılım tarihinde keşfedilen en ciddi güvenlik açıkları arasında yer almaktadır. Temeldeki kusurlar onlarca yıldır mevcuttu, ancak istismar edilebilirliklerini göstermek, insan araştırmacıların pratikte başarabileceklerinin sınırında, son derece karmaşık bir adımlar zinciri gerektiriyordu. Öncü yapay zeka modelleri bu engeli önemli ölçüde azaltarak uzun süredir var olan bir kusuru bir istismara dönüştürdü.” açıklamasını yapmıştır.

Araştırmacılar, yapay zekâ modellerinin uzun süredir var olan bu kusurların çalışan istismarlara dönüştürülmesine yardımcı olduğunu ve normalde bir ekibin aylar sürecek çalışmasını tek bir araştırmacının yaklaşık bir haftada yapabilmesini sağladığını belirtmiştir. Hatanın kökenini 2004 yılına ait PHP araştırmalarına kadar izleyen Calif ise hedefin geçmişini bilmenin yine de önem taşıdığını ve mevcut modellerin belirsiz, yirmi yıllık temel yapı taşlarından kendi başlarına güvenilir biçimde yola çıkamadığını açıklamıştır.^【28】

PHP Vakfı, keşfi ve sorunun eksiksiz düzeltmesini 2026 Ekim ayının sonlarında birlikte kamuoyuyla paylaşmayı planlamıştır. Ancak açığın ayrıntıları 20 Ekim 2026 Salı günü sosyal medyada sızdırılmış, bu durum vakfın açığa ve geniş ölçeğine ilişkin duyurusunu öne çekmesine yol açmıştır.^【29】 20 Ekim'de Hacker News platformunda yayımlanan bir gönderide, iki CVE tanımlayıcısıyla birlikte iki PHP uzaktan kod çalıştırma açığının 22 Ekim'de açıklanacağı ileri sürülmüştür. PHP aynı akşam bir ön bildirim yayımlamış ve açıklamayı 21 Ekim'e çekmiştir. Sızıntıda yer alan CVSS 10,0 puanı PHP'ye ait değildir; PHP her iki açığı da 9,2 olarak derecelendirmiştir.^【30】

PHP Vakfı, güvenlik açığının koordineli duyurulması sürecinin güncelleme yayımlanmadan önce aksadığını açıklamıştır. Vakfa göre Calif, 20 Ekim'de saat 20.00 UTC'de açığın nasıl kullanılabildiğini gösteren bir videoyu yanlışlıkla yayımlamıştır. 21 Ekim'de saat 07.41 UTC'de ise Chainguard, güvenlik düzeltmesini içeren derlenmiş yazılım imajlarını yayımlamıştır. Böylece güncelleme henüz resmen duyurulmadan başkaları da düzeltmeyi inceleyebilir hale gelmiştir.^【31】Beyaz Saray'ın açıklamasına göre ABD yönetimi, güvenlik açığından 16 Ekim 2026'da haberdar edilmiştir.^【32】

Amazon Web Services (AWS) Bilgi Güvenliği Direktörü CJ Moses, şirketin MadPot adlı tuzak sistem (honeypot) ağının, açıkların kamuoyuna duyurulmasından dört gün önce, 17 Ekim 2026'da bir PHP2Shell istismar girişimi kaydettiğini açıklamıştır.^【33】 Girişim, ticari bir anonimleştirme ağına bağlı bir IP adresinden gelmiştir. Moses, “Güvenlik açığı ambargo altındayken bir tuzak sistemin anonimleştirilmiş bir IP adresinden hedef alınması, faaliyetin bir tehdit aktörü tarafından yürütüldüğüne işaret etmektedir; ancak aktörün istismar bilgisini açıklamadan önce nasıl edindiği belirsizliğini korumaktadır.” ifadesini kullanmıştır.^【34】

AWS araştırmacıları, açıklamadan önceki saatlerde tuzak sistemlerinin farklı sağlayıcılar aracılığıyla anonimleştirilmiş ve farklı saldırı hedefleri taşıyan çok sayıda istismar girişimine maruz kaldığını bildirmiştir. Moses, “Teknik analiz sürmektedir ve bu girişimlerden herhangi birinin gerçek dünyadaki sistemlerde başarılı olup olmayacağı belirsizdir.” ve “PHP2Shell şu anda sahada yaygın biçimde istismar edilmektedir.” ifadelerini kullanmıştır.^【35】

Cloudflare Teknoloji Direktörü Dane Knecht, yama yayımlanmadan önce saldırı girişimlerinin başladığını ve saldırı yöntemleri değiştikçe güvenlik önlemlerini güncellediklerini açıklamıştır.^【36】

Cloudflare, 21 Ekim saat 03.02 UTC'de varsayılan olarak etkinleştirdiği güvenlik duvarı kurallarını aşmak için saldırganların kullandıkları zararlı kodları değiştirdiğini tespit etmiştir. Şirket, Cloudflare üzerinden hizmet veren PHP sitelerini korumak amacıyla bilinen saldırı yöntemlerini engelleyen kuralları devreye almıştır. Bu korumalar, ücretsiz kullanıcılar dahil tüm müşterilere sunulmuştur.

CVE-2026-109618 numaralı açığı yeniden üreten watchTowr, 21 Ekim saat 11.26 UTC itibarıyla gerçek sistemlerde saldırı tespit etmediğini açıklamıştır. O sırada iki açık da ABD Siber Güvenlik ve Altyapı Güvenliği Ajansının (CISA) bilinen istismar edilen güvenlik açıkları listesinde yer almamıştır. Ancak watchTowr, aynı gün 14.19 UTC'de yaptığı güncellemede her iki açığa yönelik aktif saldırı girişimleri tespit ettiğini bildirmiştir. Buna rağmen belirli bir sunucuya başarılı bir sızma gerçekleştirildiği doğrulanmamıştır.

Tehdit araştırma şirketi Sansec, yamanın yayımlanmasından sonraki 15 dakika içinde geniş çaplı saldırılar beklediğini açıklamıştır. Patchstack ise barındırma hizmeti ortaklarından açıkların istismar edildiğine ilişkin raporlar aldığını bildirmiştir.

FBI Siber Bölümü, açıkların kötü niyetli aktörlerin PHP programlama dilinde uzaktan kod çalıştırmasına olanak tanıyabileceği ve bunun hassas verilerin ve ağların güvenliğini tehlikeye atabileceği konusunda uyarıda bulunmuş, sitelerini hemen güncelleyemeyen işletmecilere siteleri çevrim dışı bırakmalarını tavsiye etmiştir.^【37】

NSA, sosyal medya hesabından yaptığı paylaşımda “Derhal geçerli olmak üzere, sistemlerinde PHP kullanan tüm kuruluşların iki kritik güvenlik açığını gideren bir güncellemeye hazırlıklı olmaları tavsiye edilmektedir.” ifadesini kullanmıştır.^【38】

NSA, 21 Ekim 2026 tarihli basın bülteninde “PHP2Shell” adıyla anılan açıkları istismar etmeye çalışabilecek kötü niyetli siber aktörlerin tespitine öncelik verdiğini bildirmiştir. Bültende “‘PHP2Shell’, saldırganların önceden erişim veya kimlik doğrulaması olmaksızın etkilenen web sunucularının kontrolünü ele geçirmesine olanak tanıyabilir. Böyle bir erişim vektörü saldırganların hassas verileri çalmasına, hizmetleri aksatmasına veya bir ağın daha derinlerine ilerlemesine yardımcı olabilir.” ve “Siber aktörlerin PHP2Shell açıklarını silah hâline getirmesi muhtemeldir. Bu riskler, Amerika Birleşik Devletleri hükümet daireleri ve ajansları genelinde derhal yama yapılmasını gerektirecek kadar ciddidir.” ifadelerine yer verilmiştir.^【39】

NSA, önümüzdeki haftalarda PHP'ye bağlı, internete açık cihaz ve hizmetler konusunda farkındalığın yüksek tutulmasını, PHP2Shell ile ilişkili satıcı yamalarının önceliklendirilmesini ve savunmasız PHP sürümlerine bağlı donanım ve yazılım hizmetlerinin envanterinin derhal çıkarılmasını istemiştir. Ajans ayrıca ağ ve operasyonel ortamlarda gelişmiş kayıt tutulmasını, yamayla uyumlu olmayacak destek süresi dolmuş PHP hizmetlerinin değiştirilmesini ve anında güncellemenin mümkün olmadığı durumlarda sistemin tamamen güvence altına alınana kadar çevrim dışı bırakılmasını önermiştir. NSA, açıkların “çoğu zaman sunucunun dosya sistemine veya veri tabanına doğrudan bir yol sağladığını” belirtmiştir.

CISA, yayımladığı güvenlik bildiriminde kuruluşların PHP kurulumlarını “derhal güncellemeleri” gerektiğini bildirmiş ve “CISA bu açıkların istismarını yayın tarihi itibarıyla gözlemlemiş olmasa da açıklar yamasız bırakılmaları hâlinde kuruluşlar için risk oluşturmaktadır.” ifadesini kullanmıştır.^【40】 Beyaz Saray ise federal kurumların düzeltmeyi hızlandırmak için önde gelen yapay zekâ laboratuvarlarıyla birlikte çalıştığını açıklamıştır.

NCSC, İngiltere'deki kuruluşları açıkların etkisini azaltmak için derhal harekete geçmeye çağırmıştır. Kurum; altyapıdaki PHP çalıştıran sistemlerin internete açık olanlara öncelik verilerek belirlenmesini, keşfin yalnızca eski PHP sürümleriyle sınırlandırılmamasını, PHP'nin en son sürümüne güncelleme yapılmasını ve PHP ekibinin sağladığı ek sıkılaştırma adımlarının uygulanmasını önermiştir. NCSC, güncelleme yapılamaması ve geçici önlemlerin uygulanamaması hâlinde sistemin çevrim dışı bırakılmasının değerlendirilmesini, sistemin derhal güncellenememesi veya devre dışı bırakılamaması durumunda ise saldırgan tarafından kurulmuş arka kapıların (backdoor) aranmasını tavsiye etmiştir. Kurum ayrıca PHP'yi bileşen olarak içeren cihaz ve hizmetler dahil üçüncü taraf yazılım satıcılarının güvenlik güncellemelerinin sürekli izlenmesini istemiştir.^【41】

Birleşik Krallık'ta Edinburgh Belediyesi ve BBC bazı site ve sayfalarını erişime kapatmış; İskoçya'da belediyeler ve sağlık kurulları dahil çok sayıda kamu kuruluşu internet sitelerini çevrim dışı bırakmıştır.^【42】

CERT-EU, açıklara verilen risk puanlarının, saldırganların kimlik doğrulaması yapmadan uzaktan kod çalıştırabileceğini gösterdiğini bildirmiştir. CERT-EU ve İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), sistemlerini hemen güncelleyemeyen kuruluşlara, güvenlik açıkları giderilene kadar internete açık uygulamalarını dış erişime kapatmalarını veya tamamen çevrim dışı bırakmalarını önermiştir. Bu uyarının ardından Cenevre Üniversitesinin internet sitesi de 21 Ekim'de erişime kapatılmıştır.^【43】

Hollanda'da vatandaşların devlet hizmetlerine erişmek için kullandığı DigiD ve MijnOverheid gibi siteler geçici olarak erişime kapatılmıştır. Hollanda'da vatandaşlar vergi, sağlık sigortası ve sosyal güvenlik gibi pek çok kamu hizmetine DigiD adlı dijital kimlik sistemiyle giriş yapmaktadır. MijnOverheid ise kişilerin kamu kurumlarından gelen yazışmaları ve kendilerine ait resmi bilgileri görüntüleyebildiği devlet portalıdır.^【44】

Başbakan Rob Jetten, sosyal medya hesabından yaptığı paylaşımda hükümetin durumu yakından takip ettiğini belirtmiştir. Ulusal Siber Güvenlik Merkezinin (NCSC) tavsiyesini yineleyen Jetten, “Güvenlik için üretilen yama programı derhal yükleyin ve aynı zamanda savunmasız sistemleri çevrim dışı tutun.” ifadesini kullanmış; söz konusu sitelerin güvenlik sağlandığı anda yeniden erişime açılacağını kaydetmiştir.

Adalet ve Güvenlik Bakanı David van Weel ise “PHP açıklarının etkisi büyük olabilir. Bu nedenle NCSC, kötüye kullanımın önüne geçebilmek için ilgili taraflara internet sitelerini geçici olarak çevrim dışı hâle getirmelerini tavsiye ediyor.” değerlendirmesinde bulunmuş ve açıkları gideren bir yamanın mevcut olduğunu belirtmiştir.^【45】

Hollanda NCSC'si internet sayfasında “yüksek öncelikli” olarak yayımladığı uyarıda, internetten gelen talepleri işleyen tüm PHP kurulumlarının etkilendiğini ve açıkların herhangi bir kullanıcı adı veya şifre gerekmeden internet üzerinden istismar edilebildiğini bildirmiştir. Hollanda NCSC'si kendi internet sitesini de tedbir amacıyla çevrim dışı bırakmıştır. Kurum, PHP bağımlılığı bulunan ve açıklardan etkilenme ihtimali olan yazılım ürünlerine ilişkin bir envanter listesi yayımlamıştır.^【46】

Hollanda'da çok sayıda kuruluş NCSC'nin örneğini izleyerek kamuya açık sitelerini önleyici olarak kapatmıştır. Bunlar arasında Rotterdam Limanı, hükümet portalı Overheid.nl, Hollanda Futbol Federasyonu (KNVB), ülkenin en büyük beş siyasi partisinin internet siteleri ve ülke genelindeki çok sayıda hastanenin siteleri yer almıştır. Hollanda hükümetine bağlı Ulusal Halk Sağlığı ve Çevre Enstitüsü sitesini kapatmış, parlamentonun alt kanadı Temsilciler Meclisinin (Tweede Kamer) internet sitesi de erişilemez hâle gelmiştir. Bazı eğitim sistemleri de çevrim dışı kalmıştır.

Almanya Dijital Bakanlığı sözcüsü, federal BT hizmet sağlayıcısı ITZBund'un PHP açıklarının tespit edilmesi nedeniyle birkaç internet sitesini çevrim dışı bıraktığını açıklamıştır. Sözcü, geçici devre dışı bırakmanın tamamen önleyici nitelikte olduğunu ve bilinen herhangi bir güvenlik olayının yaşanmadığını belirtmiştir.^【47】

Fransa İçişleri Bakanlığı, kullandıkları PHP çerçevesine yönelik bir güvenlik düzeltmesi beklenirken yerel yönetim idari birimleri olan valiliklerin (préfecture) internet sitelerini geçici olarak çevrim dışı bıraktığını açıklamıştır. Bakanlık, bu adımın çerçevenin yayıncısından gelecek yama beklenirken alınan bir tedbir olduğunu bildirmiştir.^【48】 Bakanlık, tüm internet sitelerini önleyici bakım moduna aldığını da açıklamıştır.

Belçika Dışişleri Bakanlığı, PHP açıklarını istismar eden siber saldırılara ilişkin haberlerin ardından internet sitelerini geçici olarak çevrim dışı bıraktığını açıklamıştır. Ülkenin siber güvenlik merkezi ise Belçika sitelerine yönelik herhangi bir saldırı kaydetmediğini bildirmiştir.^【49】

Finlandiya devlet BT merkezi Valtori, hükümetin kamuya açık web hizmetlerini 21 Ekim'de “ihtiyati bir tedbir” olarak kapatmıştır. Valtori, açıkları istismar etmeye yönelik herhangi bir girişim tespit etmediğini ve kesintinin bir veri ihlalinden kaynaklanmadığını açıklamıştır.^【50】

Finlandiya Ulusal Siber Güvenlik Merkezi yayımladığı uyarıda bazı devlet sitelerinin öncelikli güvenlik tedbiri kapsamında devre dışı bırakıldığını bildirmiş; Helsinki Kitap Fuarı ve Finlandiya Film Vakfı gibi farklı internet sitelerinde de kesintiler yaşanmıştır.^【51】

Çekya hükümeti, ülkenin siber güvenlik denetleme kurumunun tavsiyesi üzerine “gerekli güvenlik yamalarının uygulanmasına imkân tanımak” amacıyla internet sitesini 21 Ekim'de yerel saatle 19.00'da (GMT 17.00) çevrim dışı bırakmıştır. Hükümet ofisi, “Bu tedbir internet sitesinin güvenli işleyişini sağlamayı amaçlamaktadır. Kapatma süresince site ve içeriği kamuya açık olmayacaktır. Önerilen güvenlik güncellemeleri uygulandıktan sonra hizmetler yeniden başlatılacaktır.” açıklamasını yapmıştır.^【52】

Danimarka Siber Güvenlik ve Dayanıklılık Kurumu sistem sahiplerine en kısa sürede güncelleme yapmaları, güncellemenin mümkün olmadığı durumlarda ise sistemleri geçici olarak çevrim dışı bırakmaları çağrısında bulunmuştur.

Norveç Ulusal Güvenlik Kurumunca yayımlanan uyarıda, açıkların yetkisiz kişilerin parola veya giriş işlemine gerek duymadan etkilenen tüm sistemlerin “kontrolünü” ele geçirebileceği belirtilmiştir. Norveç'te Norveç Dijitalleşme Müdürlüğünün ve eğitim ve araştırma sektöründe güvenli giriş ve veri paylaşımı için kullanılan Feide'nin siteleri devre dışı kalmıştır.^【53】

Danimarka'da belediyelere BT hizmeti veren Kombit şirketi, ulusal okul iletişim platformu dahil birkaç hizmeti kapatmıştır.

Japonya Sağlık, Çalışma ve Refah Bakanlığı, ülke genelindeki uzun süreli bakım hizmeti sağlayıcılarının iletişim bilgilerini içeren bilgi paylaşım sistemine ait bir internet sitesini önlem olarak geçici olarak askıya almıştır. Başbakan Takaiçi Sanae, sosyal medya platformunda yaptığı paylaşımda site sahiplerine “yayındaki sitenizin PHP kullanıp kullanmadığını kontrol edin ve yeni düzeltmeyi uygulamaya hazırlanın” çağrısında bulunmuştur.^【54】

Takaiçi, “Herkesten bu gece harekete geçmesini acil olarak talep ediyoruz.” ve “Düzeltme yamasını hızla uygulamak zorsa, internet sitelerinin geçici olarak askıya alınması ve benzeri tedbirler riski azaltmanın etkili bir yolu olarak değerlendirilebilir.” ifadelerini kullanmıştır.^【55】 Japonya'nın ulusal siber güvenlik ofisi de benzer bir uyarı yayımlamıştır.

Avustralya'nın siber istihbarat kurumu Avustralya Sinyal Direktörlüğü (ASD), kuruluşları ve kişileri geliştirilecek güncellemeleri ve yamaları uygulamaya hazırlıklı olmaları konusunda uyarmıştır. Singapur'daki ilgili kurumlar da benzer uyarılar yayımlamıştır.

Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, PHP yazılım altyapısındaki kritik güvenlik zafiyetlerine karşı ulusal düzeyde önleyici güvenlik çalışmalarını devreye almıştır. Başkanlığın açıklamasında, kamu kurumları başta olmak üzere Türkiye genelindeki sistemlerde güvenlik taramalarının başlatıldığı ve ilgili kurumlara acil tedbirlerin alınması yönünde bildirimler iletildiği belirtilmiştir. Açıklamada “PHP2Shell” olarak adlandırılan güvenlik zafiyetlerinin yüksek risk taşıdığı, söz konusu açıkların özellikle internete açık sistemlerde yetkisiz erişim, veri güvenliğinin ihlali ve dijital hizmetlerin sürekliliğinin etkilenmesi gibi ciddi riskler barındırdığı kaydedilmiştir.^【56】

Başkanlık, Siber Olaylara Müdahale Ekipleri (SOME) İletişim Platformu üzerinden tüm kurum ve kuruluşlar ile kritik altyapılara acil güvenlik duyurusu ileterek alınması gereken teknik ve idari tedbirleri paylaşmıştır. Kamu kurumları ve özel sektör kuruluşları başta olmak üzere tüm sistem yöneticilerine internete açık bilişim altyapılarını gözden geçirmeleri ve yayımlanan güvenlik güncellemelerini ivedilikle uygulamaları çağrısında bulunulmuştur. Kurum ve kuruluşlara, “https://siberguvenlik.gov.tr/guvenlik-bildirimleri/detay/tr-26-1372” adresindeki resmi güvenlik duyurusunda bildirilen tedbirleri gecikmeksizin hayata geçirmeleri tavsiye edilmiştir.^【57】

Vikipedi'yi işleten Wikimedia Vakfı, PHP'deki açıkları gidermek için çalıştığını ve PHP kullanan vakıf destekli ve gönüllüler tarafından işletilen tüm sistemlerin etkilendiğini açıklamıştır. Çevrim içi kütüphane Internet Archive de sorunu gidermek amacıyla kısa bir süre çevrim dışı kalmıştır.

İnsan kaynakları yazılımı BambooHR, hizmetini ABD, Kanada ve İrlanda'da çevrim dışı bırakmış, bordro işlemlerinin kesintiye uğrayacağını ve hizmetin yeniden başlatılmasına ilişkin henüz bir zaman bilgisi bulunmadığını bildirmiştir. Mobil işletim sistemi geliştiricisi GrapheneOS, kavram kanıtı istismarların hâlihazırda geliştirildiğini ve “riske girmek istemediklerini” belirterek kullanıcı tartışma forumunu geçici olarak çevrim dışı bırakmıştır. WordPress.com'u işleten Automattic ise barındırılan çözümlerinin ve Tumblr kullanıcılarının açıklardan etkilenmediğini açıklamıştır.

FBI açıklamasında PHP'nin dünyadaki internet sitelerinin yaklaşık yüzde 70'ini desteklediği belirtilmiştir.^【58】 Web teknolojisi takip platformu W3Techs'in verilerinde PHP'nin, programlama dili tespit edilebilen sitelerin yaklaşık yüzde 75'inde kullanıldığı yer almaktadır. İnternet istihbarat şirketi Censys'in verilerinde ise 2,6 milyon sunucudan yaklaşık 1,5 milyonunun düzeltmesi bulunmayan bir PHP sürümü çalıştırdığı görülmektedir.^【59】 Bir güvenlik araştırmacısı, internete bağlı 1,3 milyondan fazla sunucunun muhtemelen etkilendiğini tahmin etmiştir. Wordfence ise tüm WordPress sitelerinin PHP kullanan sunucularda çalıştığı için savunmasız olacağı uyarısında bulunmuştur; WordPress, bir önceki yıl internetin yüzde 40'ından fazlasına altyapı sağladığını açıklamıştır.^【60】