Konuralp, Cumhurbaşkanı Yardımcılığına PHP2Shell açığıyla ilgili alınan önlemleri sordu

Konuralp, PHP2Shell güvenlik açığı nedeniyle diğer ülkelerde kamu siteleri kapatılırken Türkiye'de neden bu tedbirin uygulanmadığını sordu. Milletvekili, kamudaki PHP tabanlı sistemlerin envanterini, tarama sonuçlarını ve yapılan veri ihlali bildirimlerini de açıklamasını istedi.

Vekilpedia Haber MasasıKaynak: TBMM kayıtları13 Kas 2026 00:49 · 2 dk okuma

Kapak: Vekilpedia haber şablonu (özgün tasarım)

KAYIT NOTU

TBMM’nin açık kayıtlarına dayanır · Yayın ilkeleri ↗

KİM: Okan KonuralpYeni Parti · Ankara milletvekili
NEREDE: Cumhurbaşkanı Yardımcılığı
NE ZAMAN: 6 Kasım 2026Cuma
KAYNAK: TBMM resmî kaydı ↗Yazılı soru önergesi · 7/52727

Yeni Parti Ankara Milletvekili Okan Konuralp, PHP programlama dilinde ortaya çıkan güvenlik açığının giderilmesi için yapılan çalışmalara ilişkin, Cumhurbaşkanı Yardımcısı Cevdet Yılmaz'ın yanıtlaması istemiyle yazılı soru önergesi verdi.

Önerge, 6 Kasım 2026 tarihinde TBMM Başkanlığına sunuldu ve 7/52727 esas numarasıyla kayda girdi.

Konuralp, önergesinde şunları kaydetti:

“İnternet siteleri için web tabanlı uygulamalar geliştirmek amacıyla tasarlanmış, açık kaynaklı ve sunucu taraflı çalışan PHP (Hypertext Preprocessor) programlama dilinde "PHP2Shell" olarak adlandırılan CVE-2026-109618 ve CVE-2026-109619 numaralı iki kritik güvenlik açığı meydana gelmiştir. Bu açıkların, saldırganların kimlik doğrulaması olmaksızın sunucularda uzaktan kod çalıştırmasına imkân tanıdığı belirtilmektedir. Ortaya çıkan kritik güvenlik açıkları nedeniyle İngiltere, Hollanda, Fransa, Finlandiya ve Danimarka kamu internet sitelerini önlem olarak geçici süreyle erişime kapatmış; ABD, Japonya, Güney Kore, Çin ve Avrupa Birliği ise acil güncelleme çağrısında bulunmuştur.”
— Okan Konuralp · Yeni Parti

Konuralp, önergede Cumhurbaşkanı Yardımcısı Yılmaz'a şu soruları yöneltti:

Siber Güvenlik Başkanlığı, PHP2Shell olarak adlandırılan güvenlik açığından ilk kez ne zaman ve hangi kanaldan haberdar olmuştur? 21 Ekim 2026 tarihindeki duyurudan önce yabancı muhataplardan ya da PHP geliştirici ekibinden Başkanlığa herhangi bir ön bilgilendirme ulaşmış mıdır? 53IYı1t PHP2Shell güvenlik açığı nedeniyle İngiltere, Hollanda, Fransa, Finlandiya ve Danimarka gibi ülkelerde kamu internet siteleri önlem amacıyla erişime kapatılmışken ülkemizde böyle bir tedbir uygulanmaması hangi risk değerlendirmesine dayanmaktadır?
Kamu kurum ve kuruluşlarının kullandığı yazılımları ve sürümlerini gösteren merkezi bir envanter tutulmakta mıdır? Tutuluyorsa kamuda PHP tabanlı kaç sistem bulunmaktadır ve bu envanter en son ne zaman güncellenmiştir?
Siber Güvenlik Başkanlığı 21 Ekim 2026 tarihinde ulusal ölçekte tarama başlatmış ve TR-26-1372 numaralı güvenlik bildirimiyle kurumları acil güncellemeye çağırmıştır. Bu tarama kapsamında kaç kamu kurumu ve kritik altyapı sisteminde etkilenen PHP sürümü tespit edilmiş, bunların kaçında güncelleme tamamlanmıştır? Güncellemesi tamamlanmayan sistemler için bir süre belirlenmiş midir ve bu süreye uymayan kurumlar hakkında ne tür bir işlem yapılacaktır?
Siber Güvenlik Başkanlığına bu veri açığı ile ilgili kaç olay bildirimi yapılmış, bunların kaçında doğrulanmış bir veri ihlali tespit edilmiştir? Kurumlara, sistemlerini güncellemenin yanı sıra geçmiş kayıtlarını da incelemeleri yönünde bir talimat verilmiş midir?

Kaynak: TBMM, yazılı soru önergesi 7/52727 · https://www.tbmm.gov.tr/Denetim/Yazili-Soru-Onergesi-Detay/f40ec865-13de-4258-b867-01a1befe5462

TBMM kayıtlarından derlenmiştir · Vekilpedia