PHP2Shell Açığı BDVS Sistemlerini Etkilemedi

Dünya genelinde milyonlarca internet sitesini ve kurumsal sistemi ilgilendiren, kamuoyunda "PHP2Shell" adıyla bilinen kritik güvenlik açığı, son günlerin en önemli siber güvenlik gündemi oldu. Açık, internet sitelerinde yaygın kullanılan PHP yazılım dilinin kendisinde bulunuyor ve bu dille çalışan sistemleri doğrudan etkiliyor. Açık nedeniyle birçok ülkede devlet kurumları, üniversiteler, hastaneler ve büyük şirketler internet sitelerini önlem amacıyla geçici olarak kapattı. Bağımsız Diyanet-Sen olarak gelişmeleri ilk andan itibaren yakından takip ettik. Kendi geliştirdiğimiz, PHP kullanmayan yazılım altyapısı sayesinde Sendikamızın kurumsal internet sitesi ve içerik yönetim sistemi bu açıktan etkilenmemiştir. Dijital sistemlerimizin tamamı gözden geçirilmiş, gerekli tüm ek güvenlik önlemleri alınmıştır.

Bu açıklamayla hem üyelerimizi ve kamuoyunu doğru bilgilendirmeyi hem de bu tür dönemlerde artan dolandırıcılık girişimlerine karşı üyelerimizi uyarmayı amaçlıyoruz.

Türkiye'de Ulusal Uyarı

Ülkemizde de Cumhurbaşkanlığı Siber Güvenlik Başkanlığı konuya ilişkin TR-26-1372 numaralı güvenlik bildirimini yayımladı. Basına yansıyan bilgilere göre Başkanlık, ulusal ölçekte güvenlik taraması başlattı; kamu kurumlarına, kritik altyapı işletmecilerine ve özel sektöre acil uyarı gönderdi. Kurumlardan etkilenen sistemlerini belirlemeleri, güvenlik güncellemelerini gecikmeksizin uygulamaları, yönetim arayüzlerine erişimi güvenilir adreslerle sınırlamaları istendi.

Sendikamız, ulusal uyarıda yer alan önerileri dikkate alarak kendi sistemlerini bu doğrultuda bir kez daha gözden geçirmiştir.

Sendikamızın Dijital Sistemleri Etkilenmedi

Bağımsız Diyanet-Sen'in kurumsal internet sitesi ve içerik yönetim sistemi, piyasada hazır satılan paket yazılımlar yerine Sendikamız için özel olarak geliştirilmiş, PHP kullanmayan bir yazılım altyapısı üzerinde çalışmaktadır. Bu açık doğrudan PHP'nin kendisinde bulunduğu için, PHP ile çalışmayan sistemlerde aynı saldırı yolu bulunmamaktadır. Bu sebeple kurumsal internet sitemiz ve yönetim sistemimiz bu açıktan etkilenmemiştir.

Bununla yetinilmemiş, Sendikamızın dijital altyapısında yer alan tüm bileşenler tek tek ele alınmıştır. Destekleyici ve yardımcı hizmetler için ek koruma tedbirleri devreye alınmış, sistemler denetlenmiş ve izleme süreci başlatılmıştır. Sendikamızın teknik ekibi gelişmeleri ve resmi kurumların güncellemelerini takip etmeye devam etmektedir. Gerekli görülen her yeni adım gecikmeksizin uygulanacaktır.

Dünyanın dört bir yanında devlet kurumlarının sitelerini kapatmak zorunda kaldığı bir dönemde Sendikamızın dijital hizmetlerinin kesintisiz sürmesi, teknolojiyi yakından takip eden ve güvenliği önceliklendiren bir anlayışın sonucudur.

Öngörülü Bir Tercih: Kendi Yazılımımız

Genel Başkanımız Faruk Çetin, dijital güvenliği sendikal hizmetin ayrılmaz bir parçası olarak gören yaklaşımıyla, Sendikamızın dijital altyapısının hazır paket yazılımlar yerine Sendikamıza özel olarak geliştirilmesi yönünde stratejik bir karar almıştır. Bu kararın temelinde, üyelerimize ait bilgilerin korunmasının bir tercih değil, bir sorumluluk olduğu anlayışı yatmaktadır.

Hazır paket yazılımlar pratik görünse de çok sayıda kurum tarafından aynı kodla kullanıldıkları için, bu yazılımlarda ortaya çıkan bir açık aynı anda yüzlerce, hatta binlerce kurumu birden etkileyebilmektedir. Saldırganlar da çoğunlukla bu yaygın yazılımları hedef almaktadır. Kendi yazılımını geliştiren bir kurum ise altyapısı üzerinde tam söz sahibi olur; hangi teknolojinin kullanılacağına, verinin nerede ve nasıl saklanacağına, kime hangi yetkinin verileceğine kendisi karar verir ve bir sorun karşısında başkasını beklemeden hızla harekete geçebilir.

Genel Başkanımızın bu öngörülü ve stratejik yaklaşımı, bugün dünyayı etkileyen bir güvenlik krizi karşısında somut karşılığını bulmuştur. Bu süreç, dijital altyapıya yapılan yatırımın aynı zamanda üyelerimizin güvenliğine yapılan bir yatırım olduğunu bir kez daha göstermiştir.

Geçmişteki Olaylar Neden Önemli?

Kişisel verilerin güvenliği ülkemizde de sıkça gündeme gelen bir konudur. Kamuoyuna yansıyan bazı olaylar, yazılım kaynaklı zafiyetlerin ve yetersiz önlemlerin ne kadar ciddi sonuçlar doğurabileceğini göstermektedir:

2016 yılında, eski bir seçmen listesinden elde edildiği belirtilen yaklaşık 49 milyon vatandaşın kimlik ve adres bilgilerinin internete yüklendiği haberlere yansımıştı.
2025 yılında, kamu kurumu niteliğindeki bir meslek kuruluşunun sistemine yönelik siber saldırıda, çalışanlar ve üyeler dahil tahminen 107 bin kişinin verilerinin etkilendiği, Kişisel Verileri Koruma Kurulu kararıyla kamuoyuna duyurulmuştu.
Eylül 2026'da kamuoyuna yansıyan bir soruşturmada ise, sendika ve sivil toplum kuruluşlarına yazılım sağlayan bir firmanın yazılımlarına, üçüncü kişilerin kimlik bilgilerinin sorgulanabildiği gizli bir arayüz eklendiği iddiasıyla gözaltılar yapıldığı haberlere yansımıştı. Soruşturma sürmektedir.

Bu örnekler, bir kurumun kullandığı yazılımın kaynağının, nasıl geliştirildiğinin ve kimin denetiminde olduğunun ne kadar önemli olduğunu açıkça ortaya koymaktadır. Sendika üyeliği bilgisi, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda özel nitelikli kişisel veri olarak tanımlanmaktadır. Bu bilginin korunması, hem yasal bir yükümlülük hem de üyelerimize karşı taşıdığımız bir emanet sorumluluğudur.

Üyelerimizin Kişisel Verileri Güvence Altında

Sendikamız, üyelerimize ait kişisel verileri 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuat çerçevesinde işlemekte ve korumaktadır. Verilere erişim yalnızca yetkili kişilerle sınırlandırılmış, erişimler kayıt altına alınmakta, sistemlerimiz düzenli olarak denetlenmektedir. Üyelik bilgileri arama motorlarına ve yetkisiz erişime kapalıdır.

Dijital güvenlik tek seferlik bir iş değil, süreklilik gerektiren bir sorumluluktur. Sendikamız bu anlayışla teknolojik gelişmeleri takip etmeye, altyapısını güçlendirmeye ve üyelerimizi bilgilendirmeye devam edecektir.

Üyelerimize Önemli Uyarılar

Dünya gündemine oturan bu tür güvenlik olaylarının ardından dolandırıcılık girişimlerinin arttığı bilinmektedir. Nitekim açığın adını kullanan sahte kripto para tanıtımlarının sosyal medyada dolaştığı bildirilmektedir. Üyelerimizin aşağıdaki hususlara dikkat etmesini önemle rica ediyoruz:

Şüpheli SMS ve e-postalara itibar etmeyin. "Hesabınız askıya alındı", "üyelik bilgilerinizi güncelleyin", "aidat iadeniz var" gibi aciliyet hissi uyandıran mesajlardaki bağlantılara tıklamayın.
Bağlantının adresini kontrol edin. Sendikamızın resmi internet adresi www.bdvs.org.tr'dir. Harf eklenmiş, değiştirilmiş veya farklı uzantılı benzer adreslere karşı dikkatli olun.
Şifre, doğrulama kodu ve banka kartı bilgilerinizi kimseyle paylaşmayın. Telefonla, mesajla veya e-postayla bu bilgileri isteyen kişilerin talebine yanıt vermeyin.
Güçlü ve farklı şifreler kullanın. Her hizmet için ayrı şifre belirleyin; e-Devlet, banka ve e-posta hesaplarınızda aynı şifreyi kullanmayın. Mümkün olan her yerde iki aşamalı doğrulamayı açın.
Cihazlarınızı güncel tutun. Telefon ve bilgisayarlarınızın işletim sistemi ile uygulamalarını güncel tutun; yalnızca resmi uygulama mağazalarından uygulama yükleyin.
Kimlik fotoğrafı ve belge paylaşırken dikkatli olun. Kimlik kartınızın fotoğrafını, kaynağından emin olmadığınız kişi ve sitelerle paylaşmayın.
Şüphelendiğiniz durumu bize bildirin. Sendikamız adına geldiğini iddia eden şüpheli bir mesaj veya arama ile karşılaşırsanız işlem yapmadan önce Genel Merkezimiz veya şube başkanlıklarımızla iletişime geçin.

Sonuç

PHP2Shell açığı, dijital çağda hiçbir kurumun "bize bir şey olmaz" rahatlığına sahip olmadığını bir kez daha göstermiştir. Bağımsız Diyanet-Sen olarak, Genel Başkanımız Faruk Çetin'in öncülüğünde benimsediğimiz kendi yazılımımızı geliştirme ve güvenliği öncelik sayma anlayışımızın doğruluğunu bu süreçte açıkça görmüş bulunuyoruz.

Üyelerimizin bilgileri bizim için emanettir. Bu emaneti korumak için teknolojiyi takip etmeye, sistemlerimizi denetlemeye ve gerekli her önlemi zamanında almaya devam edeceğiz.

Kamuoyuna ve değerli üyelerimize saygıyla duyurulur.

Bağımsız Diyanet-Sen Genel Merkezi

Kapak fotoğrafı: Zulfugar Karimov / Unsplash