Hollanda’da PHP’de tespit edilen kritik güvenlik açıkları nedeniyle DigiD, MijnOverheid ve Overheid.nl dahil birçok internet sitesi 21 Ekim 2026 Çarşamba günü tedbir amacıyla çevrimdışı duruma getirildi. Kamu kurumlarından haber platformlarına uzanan erişim kesintileri, saldırganların sistemlere sızmasını önlemek amacıyla yapıldı. Kesintiler yalnızca kamu kurumlarıyla sınırlı kalmadı; RTL Nieuws ve Temsilciler Meclisinin internet sitesi de güvenlik riski nedeniyle erişime kapatılan adresler arasında yer aldı. Sitelerin çevrimdışı olmasının tek başına saldırıya uğradıkları veya kullanıcı bilgilerinin çalındığı anlamına gelmediği belirtildi.
PHP, internet sitelerinin sunucu tarafında çalışmasını sağlayan yaygın bir programlama dili. Tespit edilen sorunlar, tek tek sitelerin tasarımında değil, PHP kodunu çalıştıran temel yazılımda bulunuyor. PHP ekibinin açıklamasına göre iki açık, belirli koşullarda saldırganların kullanıcı hesabına giriş yapmadan sunucu üzerinde kod çalıştırmasına olanak tanıyabiliyor. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kayıt altına alınan açıkların her biri, CVSS 4.0 sisteminde 10 üzerinden 9,2 puanla kritik düzeyde değerlendirildi. CVE açığın kimlik numarasını, CVSS ise ciddiyetini değerlendiren puanlama sistemini ifade ediyor. PHP projesi 20 Ekim’de kritik bir güvenlik güncellemesi hazırladığını duyurdu; düzeltmeler 21 Ekim’de Hollanda saatiyle yaklaşık 15.30’da kullanıma sunuldu. Açıkları gideren sürümler arasında PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 ve PHP 8.2.35 bulunuyor.
Hollanda Ulusal Siber Güvenlik Merkezi NCSC, güncelleme öncesinde internete açık her PHP sistemi için ayrı risk değerlendirmesi yapılmasını tavsiye etti ve geçici kapatmayı alınabilecek önlemler arasında gösterdi. CERT-EU ise etkilenen sistemlerin derhal güncellenmesini, mümkün olmadığında internete açık uygulamaların düzeltme doğrulanana kadar dış erişimden ayrılmasını istedi.
Hollanda hükümetinin 21 Ekim saat 15.13’te yaptığı açıklamada açıkların aktif olarak kötüye kullanıldığına dair henüz bir işaret bulunmadığı belirtildi. Ancak CERT-EU, teknik ayrıntıların ve açığın kullanılabildiğini gösteren örneklerin kamuya yayılmaya başladığını bildirdi. Bütün internet siteleri için ortak bir açılış saati bulunmuyor; hizmetler, ilgili kurumların güncellemeyi uygulayıp gerekli kontrolleri tamamlamasıyla yeniden açılacak.