Bir programlama dilinin, bir ülkenin günlük kamu hizmetlerini aynı anda durdurabileceğini düşünmek çoğu kişiye abartılı gelir. Ancak geçtiğimiz günlerde İngiltere'de yaşananlar tam da bunu gösterdi: PHP altyapısındaki kritik bir güvenlik açığı, 32 kamu hizmetinin erişilemez hale gelmesine neden oldu. Üstelik bu tabloya, kısmen çalışmaya devam eden 4 hizmet daha eklendi. İngiltere Teknoloji Bakanı Baroness Lloyd of Effra'nın açıklamasına göre kesintilerin arkasında bir siber saldırı yok; sorun, yazılımın kendi içindeki bir açık.

Bu ayrım kritik. Çünkü bir saldırı olsaydı, müdahale ve sorumluluk zinciri görece nettir. Oysa burada söz konusu olan, milyonlarca web sitesinin ve kurumsal sistemin bel kemiğini oluşturan bir dilin bakım süreçlerindeki zafiyet. Kamu hizmetlerinin çökmesi, çoğu vatandaş için soyut bir teknik detayın somut bir sonuca dönüşmesi anlamına geliyor.

Ne oldu, ne olmadı?

Bakanlık açıklaması, olayın bir siber saldırı olmadığını açıkça ortaya koyuyor. Yani dışarıdan bir aktörün sistemleri hedef alarak çökerttiği bir senaryo değil, bu. Bunun yerine, PHP ekosisteminde tespit edilen ve kritik olarak nitelendirilen bir güvenlik açığının, hizmetlerin güvenli biçimde çalışmasını engellediği anlaşılıyor. Yetkililerin hizmetleri devre dışı bırakma kararı, muhtemelen açığı kapatana kadar sistemleri koruma altına alma refleksiydi.

Burada dikkat çeken nokta, etkilenen hizmet sayısının büyüklüğü. 32 hizmetin tamamen devre dışı kalması, tek bir açığın ne kadar geniş bir yüzeye yayılabileceğini gösteriyor. Kamu hizmetleri çoğu zaman farklı ekipler tarafından, farklı zamanlarda geliştirilmiş sistemler üzerinden sunuluyor; ancak arka planda ortak bir teknoloji yığını paylaşıyorlar. PHP de bu ortak paydanın en yaygın örneklerinden biri.

Kısmen çalışan 4 hizmet ise tablonun daha da ilginç bir parçası. Bu hizmetlerin bazı işlevleri sürerken bazılarının durması, açığın belirli modüllerde veya belirli entegrasyon noktalarında yoğunlaştığına işaret ediyor olabilir. Ancak yetkililer bu konuda ayrıntılı bir teknik döküm paylaşmadığı için, elimizdeki bilgi sınırlı.

PHP neden bu kadar kritik?

PHP, 1990'ların ortasından bu yana web'in en yaygın dillerinden biri. WordPress'ten kurumsal içerik yönetim sistemlerine, e-devlet portallarından belediye hizmet sayfalarına kadar geniş bir alanda karşımıza çıkıyor. Bu yaygınlık, beraberinde bir bağımlılık zinciri getiriyor. Bir kamu kurumunun geliştirdiği hizmet, çoğu zaman doğrudan PHP'nin kendisine değil, PHP üzerine kurulu kütüphanelere, çatılara ve eklentilere dayanıyor.

Dolayısıyla bir güvenlik açığı ortaya çıktığında, etki alanı yalnızca o açığın bulunduğu bileşenle sınırlı kalmıyor. Aynı bileşeni kullanan yüzlerce sistem, aynı anda risk altına giriyor. Kamu hizmetlerinin toplu halde devre dışı kalması, bu zincirin ne kadar sıkı örüldüğünün somut kanıtı.

Bu durum yeni değil aslında. Son yıllarda açık kaynak ekosistemlerinde yaşanan güvenlik olayları, benzer şekilde geniş çaplı kesintilere yol açtı. Ancak kamu hizmetleri söz konusu olduğunda, etki doğrudan vatandaşın günlük hayatına dokunuyor: başvuru süreçleri duruyor, bilgi erişimi kesiliyor, randevu sistemleri çalışmıyor.

Kesintinin görünmeyen maliyeti

Bir kamu hizmetinin çevrimdışı kalması, teknik ekipler için bir acil durum; vatandaş için ise çoğu zaman çözümsüz bir belirsizlik. Özellikle dijitalleşmenin hız kazandığı dönemde, kamu hizmetlerinin önemli bir kısmı yalnızca çevrimiçi kanallardan sunuluyor. Bu durumda hizmetin durması, alternatif bir başvuru yolu olmadığında doğrudan erişim engeli anlamına geliyor.

Kesintinin süresi de en az kapsamı kadar önemli. Kısa süreli bir kesinti çoğu zaman tolere edilebilir; ancak günlere yayılan bir erişim sorunu, güven kaybına dönüşebilir. Vatandaşların "acaba sisteme güvenebilir miyim" sorusu, teknik bir arızanın ötesinde bir itibar meselesine işaret ediyor.

Öte yandan, hizmetlerin güvenlik gerekçesiyle bilinçli olarak kapatılması, aslında sorumlu bir yaklaşımın göstergesi. Açık kapatılana kadar sistemleri erişime açık tutmak, veri güvenliği açısından çok daha büyük riskler doğurabilirdi. Yetkililerin bu yönde karar alması, kamu verisinin korunması açısından doğru bir tercih olarak değerlendirilebilir.

Bu olay bize ne anlatıyor?

Yaşananlar, dijital altyapıların görünmez kırılganlıklarını gözler önüne seriyor. Bir kamu kurumunun sistemini geliştirirken hangi açık kaynak bileşenleri kullandığını bilmesi, bunların güncel güvenlik yamalarını takip etmesi ve olası bir açıkta hızlı müdahale planına sahip olması gerekiyor. Ancak pratikte bu süreçler çoğu zaman dağınık ilerliyor.

Uzmanların sık sık dile getirdiği bir nokta var: Yazılım tedarik zinciri güvenliği, artık yalnızca büyük teknoloji şirketlerinin değil, kamu kurumlarının da birinci önceliği olmalı. Çünkü bir kütüphanedeki tek satırlık hata, zincirin en ucundaki hizmeti tamamen durdurabiliyor.

  • Kullanılan açık kaynak bileşenlerin envanterinin tutulması,
  • Güvenlik yamalarının düzenli takibi ve otomatik güncelleme mekanizmaları,
  • Kritik hizmetler için yedekleme ve hızlı devre dışı bırakma senaryoları,
  • Olay anında şeffaf iletişim ve vatandaşa alternatif kanallar sunulması.

Bu maddelerin hiçbiri yeni değil; ancak gerçek bir kesinti yaşanmadan harekete geçilmediği sürece kâğıt üzerinde kalma riski taşıyorlar. İngiltere'de yaşanan olay, bu riskin ne kadar somut olduğunu gösteriyor.

Sırada ne var?

Yetkililerin önümüzdeki günlerde açığı kapatmaya yönelik adımları ve hizmetlerin kademeli olarak yeniden devreye alınması bekleniyor. Ancak asıl soru, bu tür olayların tekrarını önleyecek yapısal önlemlerin alınıp alınmayacağı. Bir güvenlik açığı kapatılabilir; fakat onu mümkün kılan dağınık altyapı ve eksik izleme kültürü, kapatılmadığı sürece benzer haberleri okumaya devam edeceğiz gibi görünüyor.

Vatandaş açısından ise en yakıcı soru şu: Hizmetler ne zaman tam olarak geri dönecek? Bu sorunun net bir yanıtı henüz yok. Ancak olayın bir siber saldırı olmadığının açıklanması, en azından panik havasını bir miktar dağıtmış durumda.

Sıkça Sorulan Sorular

PHP güvenlik açığı nedeniyle hangi kamu hizmetleri etkilendi?

Yetkililer toplamda 32 kamu hizmetinin tamamen devre dışı kaldığını, 4 hizmetin ise kısmen kullanılamaz durumda olduğunu açıkladı. Hizmetlerin tek tek isimleri paylaşılmadığı için hangi başvuru veya bilgi sistemlerinin etkilendiği konusunda net bir liste bulunmuyor.

Kesintiler siber saldırı kaynaklı mı?

Hayır. İngiltere Teknoloji Bakanı Baroness Lloyd of Effra, kesintilerin bir siber saldırı anlamına gelmediğini açıkça belirtti. Sorun, PHP altyapısındaki kritik bir güvenlik açığından kaynaklanıyor.

PHP güvenlik açığı neden bu kadar geniş bir etki yaratıyor?

PHP, web üzerinde en yaygın kullanılan programlama dillerinden biri. Kamu hizmetleri de dahil olmak üzere pek çok sistem PHP tabanlı altyapılar ve kütüphaneler üzerine kurulu. Bu ortak bağımlılık, tek bir açığın aynı anda birden fazla hizmeti etkilemesine yol açabiliyor.

Hizmetler ne zaman yeniden açılacak?

Bu konuda net bir takvim açıklanmadı. Hizmetlerin güvenlik açığı kapatıldıktan sonra kademeli olarak devreye alınması bekleniyor. Sürecin uzunluğu, açığın kapsamına ve etkilenen sistemlerin güncelleme hızına bağlı.

Vatandaşlar bu süreçte ne yapmalı?

Etkilenen hizmetlere erişim sağlanamadığında, ilgili kurumun duyurduğu alternatif kanalları takip etmek faydalı olur. Acil işlemler için telefon veya yüz yüze başvuru seçeneklerinin olup olmadığının kontrol edilmesi, süreci kolaylaştırabilir.