Siber Güvenlik Başkanlığı’ndan e-Devlet açıklaması: Önlemler alınıyor

Siber Güvenlik Başkanlığı, PHP2Shell adı verilen iki açık için güncelleme çağrısı yaptı; e-Devlet kontrollerinde sorun bulunmadığını bildirdi.

Başkanlığın açıklaması, PHP kullanan kuruluşlara yönelik tedbir çağrısıyla e-Devlet Kapısı üzerindeki incelemelerin sonucunu ayrı ayrı ele alıyor. Kurum, platformda güvenliği etkileyen bir problem saptanmadığını belirtirken kamu ve özel sektörden kendi yazılım altyapılarını gözden geçirmelerini istedi.

Açıklamaya göre iki zafiyet, belirli şartların oluşması halinde saldırganların kimlik bilgisi sunmadan savunmasız sistemlere müdahalesine olanak verebiliyor. Bu nedenle uyarı, PHP kullanan bütün sistemlerin aynı durumda olduğu anlamına gelmiyor; belirtilen risk, açıkların etkili olabildiği koşullarla sınırlı.

PHP2Shell için altyapı denetimi çağrısı

PHP'nin dünya çapındaki kullanımına dikkat çeken Başkanlık, kuruluşların üreticilerin yayımladığı güvenlik yamalarını uygulamasını istedi. Çağrının kapsamı yalnızca kamu hizmetleriyle sınırlı değil; özel sektörde bu yazılımdan yararlanan kuruluşlar da kendi altyapılarını kontrol etmeye davet edildi.

Başkanlığın önerdiği işlemler arasında kullanımda kalan eski bileşenlerin belirlenmesi, güvenlik denetimlerinin tamamlanması ve güvenli sürümlere geçiş bulunuyor. Böylece güncelleme çağrısı, yalnızca yeni bir yazılım sürümünü yüklemekten ibaret tutulmuyor; mevcut altyapının hangi bileşenleri içerdiğinin incelenmesini de kapsıyor.

Kurum, yazılımların güncel tutulmasını ve periyodik kontrolleri siber riskleri azaltmaya yönelik temel tedbirler olarak sıraladı. Açıklamadaki yaklaşım, PHP2Shell uyarısına verilecek yanıtı tek seferlik bir işlemle sınırlamak yerine güncelleme ve denetim çalışmalarının birlikte yürütülmesine dayandırıyor.

Uyarının teknik kapsamı açısından belirleyici unsur, müdahale olanağının koşula bağlı olması. Başkanlığın verdiği bilgi, kullanıcı adı ya da parola gerekmeksizin erişim riskine işaret ediyor; ancak bu riskin her PHP kurulumunda gerçekleştiğini veya bütün kuruluşların etkilendiğini söylemiyor.

e-Devlet incelemesinde güvenlik sorunu saptanmadı

Başkanlığın açıklamasında e-Devlet Kapısı için paylaşılan kullanıcı sayısı 69 milyonun üzerinde. Bu ölçekte hizmet sunan platformda PHP altyapısına ilişkin kontroller yapıldığı ve hizmet güvenliği bakımından olumsuz bir bulguya rastlanmadığı bildirildi.

Vatandaşların kamu işlemlerini platform üzerinden olağan biçimde sürdürebildiği de açıklamada yer aldı. Böylece Başkanlık, PHP açıklarına yönelik genel uyarısının yanında e-Devlet hizmetlerinde kesinti yaşanmadığı bilgisini verdi; platformun durumunu, diğer kuruluşlara yöneltilen tedbir çağrısından ayrı aktardı.

Kişisel bilgilerin korunması ve hizmetlerin devamlılığı için platformda farklı güvenlik katmanlarının kullanıldığı belirtildi. Başkanlığa göre altyapı aralıksız izleniyor ve belirli aralıklarla güvenlik testlerinden geçiriliyor; açıklama, e-Devlet'teki koruma düzenini bu uygulamalar üzerinden tarif ediyor.

e-Devlet hakkında bildirilen sonuç, platform üzerinde gerçekleştirilen kontrollerin bulgusu niteliğinde. Bu sonuç, başka bir kamu kurumunun veya şirketin PHP altyapısına ilişkin değerlendirme yerine geçmiyor; Başkanlığın kuruluşlara ayrı ayrı kontrol çağrısı yapması bu ayrımı koruyor.

Ulusal taramalar ve teknik takip sürüyor

Başkanlık, ilgili kuruluşlara riskler hakkında bilgi verirken ülke çapındaki tarama faaliyetlerini ve teknik izlemeyi sürdürdüğünü açıkladı. Çalışmalar, ilgili kurumlarla ve Siber Olaylara Müdahale Ekipleri ile yürütülen koordinasyonu da içeriyor; süreç yalnızca kuruluşlara duyuru yapılmasıyla sınırlı tutulmuyor.

Kurumun bildirdiği amaç, tehditleri erken aşamada belirlemek, koruyucu adımları uygulamak ve dijital hizmetlerin güvenliğini sürdürmek. Bu çerçevede kuruluşlara düşen işlem, kendi PHP bileşenlerini inceleyerek üretici güncellemelerini uygulamak; ulusal ölçekteki faaliyet ise tarama ve teknik takiple devam ediyor.

Başkanlığın açıklamasına göre takip çalışmaları sürerken e-Devlet hizmetleri vatandaşların kullanımına açık kalıyor. Kamu ve özel sektöre yönelik çağrı da geçerliliğini koruyor: eski yazılım bileşenlerinin belirlenmesi, güvenlik kontrollerinin yapılması ve uygun güvenli sürümlerin kullanılması isteniyor.