Prof. Dr. Ali Mırat Kırık Yeniçağ'a Açıklamalar... Php Güvenlik Açığı Krizinde E-Devlet Ayakta Kaldı

Marmara Üniversitesi Öğretim Üyesi ve Dijital İletişim Araştırmacısı Prof. Dr. Ali Murat Kırık, YENİÇAĞ’dan Buluthan Akar’ın sorularını yanıtladı. Dünya genelindeki internet sitelerinin yaklaşık yüzde 70'inin altyapısında kullanıldığı belirtilen PHP’de yapay zekâ tarafından kritik açıklar keşfedilmişti. Finlandiya dâhil bazı Avrupa ülkeleri önlem olarak devlet sitelerini geçici olarak kapatırken, uzmanlar sistemlerin acilen güncellenmesi gerektiği konusunda uyarmıştı. Türkiye’de de Siber Güvenlik Başkanlığı gerekli talimatları yayımlamıştı.

Bu tür gelişmelerin panik üzerinden değil, siber güvenlikte risk yönetimi açısından değerlendirilmesi gerektiğini söyleyen Kırık, şöyle konuştu:

“PHP gibi dünya genelinde yaygın kullanılan bir yazılımda kritik güvenlik açıklarının ortaya çıkması, gerekli önlemler alınmadığında bazı internet sunucularını saldırılara karşı savunmasız bırakabilir. Bu nedenle bazı ülkelerde internet sitelerinin ve kamuya açık hizmetlerin geçici olarak erişime kapatılması, riskin büyümesini önlemeye yönelik bir tedbir olarak değerlendirilebilir. Ancak önemli bir ayrım var: Bir internet sitesinin kapatılması, o sistemin saldırıya uğradığını veya vatandaşların bilgilerinin ele geçirildiğini tek başına kanıtlamaz. Kurumlar bazen olası bir saldırıyı önlemek, güvenlik güncellemelerini uygulamak ve sistemlerini kontrol etmek amacıyla da hizmetlerini geçici olarak durdurabilir.”

Her kurumun kendi altyapısını değerlendirerek karar vermesi gerektiğini belirten Kırık, önceliğin PHP’nin güvenli sürümlerine geçmek, sistemleri kontrol etmek ve gerekli güvenlik önlemlerini uygulamak olması gerektiğini söyledi. Risk hemen giderilemiyor ve başka önlemlerle kontrol altına alınamıyorsa hizmete erişimin geçici olarak sınırlandırılmasının doğru bir yaklaşım olabileceğini ifade etti.

Kırık, bütün internet sitelerinin kapatılması gerektiğini söylemenin doğru olmadığını da vurgulayarak, “Vatandaşların hizmetlere erişimini korurken güvenliği sağlamak gerekiyor. Siber güvenlikte önemli olan, tehdidi küçümsememek ama alınan önlemleri de somut risklere dayandırmak.” ifadelerini kullandı.

Kırık, Türkiye açısından Cumhurbaşkanlığı Siber Güvenlik Başkanlığı’nın 22 Ekim 2026'daki açıklamasına dikkat çekti. Başkanlık, e-Devlet Kapısı’nda gerçekleştirilen güvenlik kontrollerinin tamamlandığını ve hizmetlerin güvenliğini olumsuz etkileyen bir sorun tespit edilmediğini bildirmişti. Açıklamada, 69 milyonu aşkın kullanıcıya hizmet veren e-Devlet’in kamu kurumlarıyla güvenli bağlantılar üzerinden çalıştığı, kişisel verilerin korunması için çok katmanlı güvenlik tedbirleri uygulandığı ve sistemlerin 7 gün 24 saat izlendiği belirtilmişti.

Kırık, bu açıklama doğrultusunda e-Devlet özelinde vatandaşların endişesini artıracak doğrulanmış bir güvenlik sorunu bulunmadığını söyledi. Ancak e-Devlet kontrollerinin tamamlanmasının, diğer kamu kurumları ile özel sektör kuruluşlarının altyapılarının da aynı şekilde incelendiği anlamına gelmediğini belirtti ve “Her kurumun kendi kullandığı yazılım sürümünü ve güvenlik durumunu ayrıca değerlendirmesi gerekiyor.” açıklamasında bulundu.

Türkiye’de bütün kamu sitelerinin kapatılması gerektiğini düşünmediğini söyleyen Kırık, öncelikle PHP kullanan sistemlerin tespit edilmesi, etkilenebilecek sürümlerin kontrol edilmesi ve üreticinin yayımladığı güvenlik güncellemelerinin gecikmeden uygulanması gerektiğini ifade etti. Sistem yöneticilerinin yalnızca güncelleme yapmakla yetinmemesi, erişim kayıtlarını incelemesi, olağan dışı faaliyetleri araştırması ve sistemlerin güvenli çalıştığını doğrulaması gerektiğini söyleyen Kırık, riskin giderilemediği durumlarda geçici erişim kısıtlamalarının değerlendirilebileceğini kaydetti. Vatandaşın beklentisinin kamu hizmetlerinin mümkün olduğunca kesintisiz sürmesi ve kişisel verilerinin korunması olduğunu belirten Kırık, bu iki hedefin birbirine karşı değil, birlikte yürütülmesi gereken sorumluluklar olduğunu söyledi.

Kırık, bir yazılımda güvenlik açığı bulunmasının tüm kullanıcıların hesaplarının ele geçirildiği anlamına gelmediğini belirtti. PHP’deki açıkların, güvenlik güncellemelerini uygulamamış ve ilgili teknik koşulları taşıyan sunucular açısından risk oluşturabileceğini söyleyen Kırık, böyle bir sunucuya yetkisiz erişim sağlanması hâlinde orada tutulan veya işlenen kişisel verilerin de tehlikeye girebileceğini ifade etti. E-posta, sosyal medya ve alışveriş sitelerinde kullanılan bilgiler açısından riskin, ilgili platformun altyapısının etkilenip etkilenmediğine bağlı olduğunu kaydeden Kırık, bütün e-posta hesaplarının, şifrelerin veya banka bilgilerinin tehlikede olduğunu söylemenin doğru olmayacağını vurguladı.

Gelişmenin dijital güvenlik alışkanlıklarını gözden geçirmek için bir hatırlatma olduğunu belirten Kırık, e-posta, sosyal medya ve bankacılık hesaplarında iki aşamalı doğrulamanın etkinleştirilmesini, farklı hesaplarda aynı şifrenin kullanılmamasını ve hesap hareketlerinin düzenli kontrol edilmesini temel önlemler arasında sıraladı. “Hesabınız ele geçirildi, hemen şifrenizi değiştirin” ya da “Güvenliğiniz için bu bağlantıya tıklayın” gibi mesajlara karşı dikkatli olunması gerektiğini söyleyen Kırık, işlem yapmak gerekiyorsa mesajdaki bağlantı yerine kurumun resmî uygulamasının veya internet sitesinin kullanılmasını önerdi. Şüpheli giriş bildirimi ya da olağan dışı işlem görülmesi hâlinde ilgili platformun resmî kanallarına başvurulması gerektiğini belirtti.

Telefonlara ve bilgisayarlara yalnızca bu açık nedeniyle özel bir yazılım yüklemek ya da PHP güncellemesi yapmak gerekmediğini söyleyen Kırık, asıl teknik sorumluluğun sunucuları yöneten kurumlarda olduğunu ifade etti. Vatandaşların panik yapmasına gerek olmadığını ancak temel güvenlik önlemlerinin ihmal edilmemesi gerektiğini belirten Kırık, kurumların güvenlik güncellemelerini zamanında uygulamasının, sistemlerini düzenli denetlemesinin ve kamuoyunu doğrulanmış bilgilerle bilgilendirmesinin sürecin en önemli ayağı olduğunu söyledi.