PHP Açığı Dijital Güvenliği Sarsarken, AB’den Yazılıma Yeni Siber Yaptırımlar Geliyor
Küresel çapta milyonlarca internet sitesinin temelini oluşturan PHP yazılımında iki yıl önce fark edilen bir güvenlik sorunu, Ekim 2026’da dünya genelinde alarm zillerini çaldırdı. Avrupa’daki bazı kamu kurumları internet sitelerini tedbir amacıyla kapatırken, Türkiye’de Cumhurbaşkanlığı Siber Güvenlik Başkanlığı ulusal ölçekte tarama başlattı. Bu gelişme, dijital egemenlik ve açık kaynak yazılımlara bağımlılık konularını yeniden gündeme getirdi.
Bu kritik siber güvenlik olayının yanı sıra, Avrupa Birliği’nin yeni Siber Dayanıklılık Tüzüğü (CRA) ile yazılım üreticilerine getirilen 24 saatlik bildirim zorunluluğu da sektörde büyük yankı uyandırdı. Ayrıca, yapay zekâ ve telif hakları alanında da önemli hukuki adımlar atıldı; Rekabet Kurumu Google’ın yapay zekâ özetlerine müdahale ederken, Anthropic yapay zekâ destekli oyun kopyalamayı yasakladı.
PHP Açığı ve Dijital Egemenlik Tartışması
21 Ekim 2026’da ortaya çıkan PHP güvenlik açığı, dünya genelinde kritik sunuculara yönelik saldırı girişimlerini tetikledi. Amazon’un tehdit istihbaratı ekipleri, 17 Ekim’de “PHP2Shell” adı verilen açıklara yönelik bir istismar girişimi tespit etmişti. Bu durum, milyonlarca insanın güvendiği bir yazılımın güvenliğinin, küçük bir geliştirme ekibinin kaynaklarına ve kararlarına bağlı kalabileceğini gösterdi.
Söz konusu açık, ülkelerin dijital altyapılarının ne kadar dayanıklı olduğu sorusunu gündeme taşıdı. Teknolojiyi kullanmanın yanı sıra, onu anlayabilmek, doğrulayabilmek ve kendi imkânlarıyla güvenliğini sağlayabilmek, dijital egemenlik açısından hayati önem taşıyor. Açık kaynaklı yazılımların yaygın kullanımı, sürekli denetim ve zamanında müdahale gerektiren bir güvenlik anlayışını zorunlu kılıyor.
AB’den Yazılıma Yeni Siber Yaptırımlar: Siber Dayanıklılık Tüzüğü
Avrupa Birliği, siber güvenliği güçlendirmek amacıyla Siber Dayanıklılık Tüzüğü’nü (Regulation (EU) 2024/2847, “CRA”) kademeli olarak yürürlüğe koydu. Tüzüğün 14. maddesi uyarınca, 11 Eylül 2026’dan itibaren AB pazarında bulunan yazılım veya bağlantılı donanımların üreticileri, aktif olarak istismar edilen güvenlik açıklarını ve ürün güvenliğini etkileyen ciddi olayları 24 saat içinde bildirmekle yükümlü kılındı.
Bu yükümlülük, tüzüğün geri kalanından bir yıldan fazla süre önce uygulanmaya başladı ve AB dışındaki üreticileri de kapsıyor. Yani, Avrupa’daki uygulama mağazalarında oyunu olan bir İstanbul stüdyosu veya Almanya’ya akıllı cihaz satan bir donanım şirketi için bu bildirim süreci çoktan işliyor olabilir. Tüzük, eski
