Geçen akşam (21 Ekim 2026) Japonya Başbakanı Sanae Takaiçi, X platformunda web sitelerinde oldukça yaygın kullanılan PHP yazılımıyla ilgili paylaşımında; "Herkesin bu gece acilen harekete geçmesini rica ediyoruz" diye yazdı.

Şirketlerden, halka açık web sitelerinin PHP ile çalışıp çalışmadığını kontrol etmelerini ve PHP güvenlik ekibinin o gece Japonya saatiyle 23:00'te yayınlayacağı düzeltmeyi uygulamaya hazır olmalarını istedi. Yama uygulamasının hızlı bir şekilde mümkün olmaması durumunda, "web sitelerini geçici olarak askıya almak ve benzeri önlemlerin riski azaltmanın etkili bir yolu olarak düşünülebileceğini" söyledi. Ayrıca okuyucuları daha fazla güncelleme için Japonya Ulusal Siber Güvenlik Olay Hazırlık ve Strateji Merkezi'ne yönlendirdi. Bir Başbakanın böyle bir paylaşım yapmayacağını, birilerinin hınzırlık peşinde olduğunu düşünerek haberi geçiştirmiştim.

Biraz sonra bizim önemli bilişimcilerden de benzer mesajlar paylaşıldı. Olay doğruydu. Tehdit seviyesi 9.2/10 (Critical).

Haliyle o tarafa kulak kesildim.

Dünya genelinde web sitelerin yüzde 65-70’inin PHP kullandığını düşününce durumun ciddiyeti daha iyi anlaşılıyordu.

Haber kanallarında neler anlatılıyor, uzmanlar ekranda boy göstermeye başlamışlardır diyerek televizyonu açtım. Önde gelen haber kanallarından birinde kimi görsem beğenirsiniz? Adını vermek istemiyorum ama ‘Prof. Dr.’ unvanını taşıdığını söyleyeyim. Kendisini birkaç yıl önce ‘Doç.’ olarak görmüştüm ekranlarda. O zaman önemli bir konuda elle tutulur hiçbir şey söylemeden boş boş konuşarak zaman dolduruyordu. Bugün de aynı şekilde konunun etrafında dolaşıyor ve içi boş laflar ediyordu.

Başka bir kanalda bir başkası konuşuyordu. Konuşmasının başında bu önemli açığın yapay zeka tarafından tespit edildiğini söylerken konuşmasının sonunu yapay zekadan gelecek tehdit ve tehlikelere dikkat etmemiz gerektiğini söyleyerek bağlayan kişi de ‘Doç. Dr.’ unvanını taşıyordu.

Bir gün önce de İstanbul’u sel götürmüştü. Muhabir yurttaşlara soruyordu: “Her yıl bunu yaşıyorsunuz, neden?” Yanıt manidar: “Bu dere var ya (eliyle dereyi gösteriyor) hep bunun yüzünden. Ya ıslah etsinler ya da kaldırsınlar buradan!” Muhabir hiçbir şey diyemedi. İstanbul’da ve yurdun her yerinde binaların arasına sıkışmış bütün gözler üstündeymiş, bütün parmaklar ona doğrultulmuş gibi mahcup ve sessizce akıp giden –henüz kaybolamamış- son dereler gözümün önünden geçti.

Evet, sayın dereler; siz suçluymuşsunuz. Her sene yaşanan seller, yıkımlar, maddi kayıplar, can kayıpları sizin suçunuzmuş.

Yıllardan beri orada duran ve kimsenin farkına varamadığı PHP açığını da tespit eden yapay zeka. Yapay zeka da bize getireceği tehdit ve tehlikelerden dolayı suçluymuş.

Memleketin yurttaşı dereleri; Profesörü, Doçenti de yapay zekayı suçlayıp çıkıyor işin içinden. Çünkü bilmiyorlar, anlamıyorlar, araştırmıyorlar, düşünmüyorlar. Ne o yurttaş gerçek ne de o Profesör ve Doçent gerçek! Parayla satın alınan sahte diplomalarla da buraya kadar gelebiliyorlar. Televizyon ekranlarını işgal ederken gerçek Profesörlerin haklarını, emeğini de ayaklar altına almaktan çekinmiyorlar. Neredeyse yarım asır emek vermiş gerçek Profesörlerin bunları gördükçe büyük acı çektiklerini düşünmeden edemiyorum.

Aymazlıkları pervasızlıklarıyla at başı yarışıyor. Kent merkezlerinden dereleri, dijitalden yapay zekayı kaldırırsak hiçbir sorun kalmayacak sanıyorlar memlekette. Kafayı kuma gömmeyi geçmişler, magmaya kadar inmişler sorunlardan kurtulabilmek için.

Anlaşılan, konuyu kendim araştırmamdan başka çare yok. ‘Bu ülkeye yazık oluyor’ diyerek televizyonu kapattım.

Biraz araştırdım. Konunun farklı boyutları var. Kafa karışıklığına neden olmamak için oralara girmeden şu PHP açıklarının nasıl olup da bütün dünyayı korku içine ittiğini anlaşılır bir şekilde anlatmaya çalışalım.

İnternet dünyasını bir şehir, web sitelerini de bu şehirdeki binalar olarak düşünebiliriz. Binaların musluklarından su akmasını sağlayan yer altındaki su borusu tesisatı neyse, dijital dünyada da PHP odur.

PHP; bir web sitesine girdiğinizde ekranın arkasında çalışan, şifrelerinizi doğrulayan, alışveriş yaparken ödemenizi işleyen ve sayfaları önünüze getiren sunucu tarafında çalışan bir yazılım dilidir.

Bu temel teknolojiyi ilk olarak 1994 yılında Danimarka-Kanadalı programcı Rasmus Lerdorf kendi kişisel sitesinin ziyaretçilerini takip etmek için geliştirmiş ve 1995 yılında kamuya sunmuştur. Başlangıçta PHP'nin açılımı "Personal Home Page" idi. Daha sonra dil geliştikçe adı "PHP: Hypertext Preprocessor" olarak değiştirildi.

Bugün PHP bir kişinin veya bir şirketin özel mülkü değildir. Açık kaynaklıdır ve dünya genelindeki bağımsız geliştiriciler ile onları destekleyen PHP Vakfı tarafından ortaklaşa yönetilmektedir. Bir merkezi yoktur. Günümüzde JavaScript (Node.js), Python, Java, C# (.NET), Go (Golang), Ruby, Rust gibi güçlü rakipleri olsa da, internetteki web sitelerinin yaklaşık %70'i PHP altyapısını kullanmaktadır. Uluslararası kuruluşlar, devletler, üniversiteler, hastaneler, bankalar...

Geçtiğimiz günlerde internetin altyapısını sarsan "PHP2Shell" adlı çok kritik bir güvenlik krizi patlak verdi. Bu olay, PHP'nin bellek yönetimi ve hata işleme sisteminde yer alan iki ciddi hatadan kaynaklanıyordu.

Basitçe anlatmak gerekirse; bir evin kapısı kilitli görünüyordu ama hırsız kilidi hiç zorlamadan, anahtara veya şifreye ihtiyaç duymadan içeri girip evi kendi evi gibi kullanabiliyordu. Belki de 20 yaşlarındaki bu açıkları onca yıldır kimse fark etmedi. İnsan gözünden kaçan bu karmaşık hata zinciri, araştırmacı ekiplerin gelişmiş yapay zeka modellerini kullanarak yaptıkları incelemeler sayesinde tespit edilebildi.

Açığın ciddiyeti anlaşıldığında dünya genelinde alarm verildi. Çünkü sorun tek bir sitede değil, doğrudan su tesisatının ana merkezindeydi. Tehlikenin büyüklüğü karşısında Almanya, Fransa, Belçika, Hollanda, Finlandiya, Çekya ve Japonya gibi ülkeler son derece radikal bir karar alarak bazı devlet sitelerini, bakanlık sayfalarını ve kamu hizmetlerini internete kapattı. Japonya'daki bankalar, Avrupa'daki hastaneler, üniversiteler ve bazı özel şirketler de hırsızlar içeri girmeden kapıyı tamamen kilitlemek adına sistemlerini bakıma alıp çevrimdışı yaptı.

Yazılımı geliştiren PHP ekibi hızla güvenlik yamalarını yayınladı, yani kapının kilidi değiştirildi. Ancak tehlike herkes için tamamen geçmiş değil; çünkü bir sitenin korunması için o sitenin yöneticisinin bu yeni güncellemeyi kendi sunucusuna kurması gerekiyor. Güncellemeyi yapmayan veya eski sistemlerde kalan siteler risk altında. Bu süreçte web sitesi sahipleri ve sunucu yöneticileri vakit kaybetmeden PHP sistemlerini güncelleyecekler.

Biraz detaya indiğimde, aslında olayın 21 Ekim 2026 tarihinde değil Haziran sonunda tespit edildiğini öğrendim. 30 Temmuz’da PHP Vakfının dahil olduğu bir program çerçevesinde üç ayrı ekip (Wiz, OpenAI, Calif) birbirinden bağımsız olarak PHP’yi faklı yapay zeka modelleri ile incelemeye başlıyorlar. Açıkları tespit ediyorlar. 11 Ağustos, 24 Ağustos ve 18 Eylül’de raporluyor. Hatta 2024 yılında bir mühendisin bu hataları tespit ettiği ancak bu hataların nasıl bir saldırıya yol açabileceğine dair net bir sonuca varılmadığından çalışmanın devam ettirilmediği de iddia ediliyor.

PHP vakfı bu esnada güvenlik anlayışını ve ekiplerini geliştirmek için ciddi çalışmalar içinde. Bu açıkları kapatmak için yoğun bir çalışma içine giriliyor ve güncelleştirmeler hazırlanıyor. 21 Ekim’e kadar bu açıklardan birilerinin içeriye girip kişisel verilere ulaştığına dair bildirim yok. Ancak ‘yama’nın yayınlanmasından bir gün önce Calif bir videoyu yanlışlıkla yayınlıyor ve siliyor. Ancak video yayılmaya devam ediyor.

Yamanın açıklanmasından 6 saat önce paydaşlardan biri olan ABD merkezli siber güvenlik şirketi Chainguard açıkları ortaya seriyor. Düzeltmeyi içeren derlenmiş imajları yayınlıyor. Yanlışlıkla mı oldu, kasıt mı bilinmez ama o andan itibaren hackerlar saldırılara başlıyorlar. Bir kaos yaşanıyor ve Japonya Başbakanının paylaşımı da o anlara denk geliyor.

Bu olaydan çıkarabileceğimiz farklı dersler de vardır.

Bizim medyada konuyu bilenler değil de bazı liyakatsiz şovmenler halka sunuluyor. Böylece bizim halkımızın olayın aslını öğrenme ya da anlama hakkı elinden alınmış oluyor. Medyanın bu anlamda kendine gelmesi gerekiyor.

İşin uzmanı akademisyen unvanıyla olayı araştırıp anlamak, varsa sorumluları bulmak ya da bulmaya çalışanlara destek olmak dururken işi olayın kahramanı olan (açıkları bulan) yapay zekayı suçlamaya kadar getiriyorsanız; sokakta hırsızı değil de yakalatanı suçlarsınız.

Yapay zekadan önceki tüm dijital dünya artık eskimiş ve yaşlanmıştır. Tümünün yapay zeka ile yeniden gözden geçirilmesi ve elden geçirilmesinde yarar vardır. Tüm sistemler plan dahilinde kontrol edilmelidir. Nitekim bu yazı düzenlendiği sırada PHP’nin rakiplerinden Node.js’de benzer sorunların daha yaygın olarak bulunduğuna dair haberler düşmeye başladı.

Şunu da anlamış olduk: Dünyada bu olayın ne derece önemli olduğunu ve nelere yol açabileceğini kavrayabilen tek lider varmış ve kendisi son derece duyarlı ve sorumluluk sahibi biriymiş. Duyarlılığı ve zaman geçirmeksizin aksiyon alan sorumlu davranışı için Sayın Sanae Takaiçi’ye gönülden teşekkür ediyorum. Bütün ülkelere böyle liderler gelirse dünya daha güzel bir yere dönüşür.

PHP2Shell krizi, modern internetin tek bir ortak yazılım altyapısına ne kadar bağımlı olduğunu kanıtlayan tarihi bir olaydır. Bu durum bana II. Dünya Savaşı sonrasında Batı Almanya'nın ilk şansölyesi Konrad Adenauer'a atfedilen bir özlü sözü hatırlattı: “Umarım bir daha İsa bile gelse, tüm yetkiyi tek kişiye verecek kadar aptal olmayacağız.” Tüm yetkiyi tek bir programa da vermemeliyiz elbette.

PHP2Shell krizi, bize yapay zekanın 20 yıldır onca mühendisin göremediği açıkları bir çırpıda ortaya çıkararak dünyaya ve insanlığa büyük bir yarar sağladığını, siber güvenlikte nasıl çığır açtığını da gösterdi.

Bu anlamda yapay zekanın hakkını teslim ederken geçmiş yıllarda o arka kapıları kimlerin ne amaçla kullandıklarını da merak edip araştırmalıyız.