PHP2Shell Açığı: Türkiye'deki Şirketler ve Kamu Kurumları İçin Hukuki Sonuçlar

PHP2Shell Açığı: Türkiye'deki Şirketler ve Kamu Kurumları İçin Hukuki Sonuçlar

Av. Coşkun GENÇ · LimanLegal Hukuk Bürosu · 21 Ekim 2026 · Okuma süresi: yaklaşık 20 dakika

Kısa cevap: PHP2Shell, dünyadaki web sitelerinin büyük bölümünü çalıştıran PHP dilinin çekirdeğinde 21 Ekim 2026'da duyurulan iki kritik açığın (CVE-2026-109618 ve CVE-2026-109619) ortak adıdır. Açıklar, saldırganın hiçbir kullanıcı adı veya şifre bilmeden sunucuda kendi kodunu çalıştırmasına ve sunucu belleğindeki şifre, oturum anahtarı ve API anahtarı gibi verileri okumasına imkân verir. PHP projesi aynı gün düzeltilmiş sürümleri (8.5.12, 8.4.27, 8.3.36 ve 8.2.35) yayımladı ve güncelleme dışında tam bir çözüm bulunmadığını açıkladı; Siber Güvenlik Başkanlığı da aynı gece ulusal çapta uyarı yaparak kamu kurumlarını ve şirketleri güncellemeleri "ivedilikle" uygulamaya çağırdı. Türkiye'de web sitesi, e-ticaret altyapısı, müşteri paneli veya kurumsal portalı PHP ile çalışan her şirket ve kamu kurumu için bu, teknik bir mesele olmanın ötesinde hukuki bir yükümlülük hâline gelmiştir: 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi veri sorumlusunu uygun güvenlik tedbirlerini almakla yükümlü kılar; 7545 sayılı Siber Güvenlik Kanunu açıklıkların ve siber olayların "gecikmeksizin" Başkanlığa bildirilmesini ister; bir veri ihlali gerçekleşmişse Kişisel Verileri Koruma Kurulu'na 72 saat içinde bildirim yapılmalıdır. Bu yazıyı LimanLegal Hukuk Bürosu olarak, resmî güvenlik duyuruları ve yürürlükteki mevzuat üzerinden, şirket yöneticileri, kamu görevlileri ve bilgi işlem sorumluları için hazırladık.

PHP2Shell nedir ve neden bu kadar ciddi?

PHP, internet sitelerinin sunucu tarafında çalışan en yaygın programlama dilidir; WordPress, Drupal, Joomla, Magento ve MediaWiki gibi dünyanın en çok kullanılan içerik ve e-ticaret sistemleri PHP ile yazılmıştır. Açıkları bulan araştırma ekiplerinden Wiz, PHP'nin dünyadaki web sitelerinin yaklaşık yüzde 70'ini çalıştırdığını belirtmektedir. PHP2Shell adıyla anılan iki açık, herhangi bir eklentide veya tema dosyasında değil, PHP'nin çekirdeğinde yer alır. Bu yüzden sitenizin kodu ne kadar temiz olursa olsun, sunucudaki PHP sürümü eskiyse risk altındasınız.

İki açığın da ortak noktası, saldırganın sunucuya kimlik doğrulaması olmadan, çoğu zaman tek bir özel olarak hazırlanmış istek göndererek etki etmesidir. PHP'nin resmî duyurusuna göre CVE-2026-109618, bellek yetersizliği (out-of-memory) hâlinde yarım kalan istek verilerinin temizlik sırasında geçerli sayılmasından kaynaklanan bir uzaktan kod çalıştırma açığıdır; oturum yükleme ilerlemesi (session.upload_progress) ise CVE-2026-109619'un geçici önlemleri arasında sayılmaktadır. Okunan bellekte, aynı sunucudan geçen diğer kullanıcılara ait şifreler, oturum çerezleri, API anahtarları ve hatta TLS sertifikasının özel anahtarı bulunabilir. PHP'nin resmî duyurusuna göre CVE-2026-109619, belleği serbest bırakılmış istek durumunun aynı işçi süreçteki sonraki bir istekte kullanılmasından (stale global state) kaynaklanan bir uzaktan kod çalıştırma açığıdır; ölümcül hata geri izleme (fatal_error_backtraces) ve oturum yükleme ilerlemesi bu açığın tetiklenme yolları arasındadır. PHP güvenlik ekibi her iki açığa CVSS v4.0 ölçeğinde 10 üzerinden 9,2 puan vermiştir.

PHP güvenlik ekibinin açıklaması nettir: "Tam bir geçici çözüm yoktur; güncelleme tek güvenli seçenektir." Apache'nin mod_php modülüyle çalışan sunucular en yüksek risk grubundadır; çünkü saldırı, sitenin kendi kodu çalışmaya başlamadan önce tetiklenebilmektedir. PHP-FPM kullanan sunucular için de her iki açık geçerlidir.

Türkiye'de kimler etkileniyor? Siber Güvenlik Başkanlığı ne dedi?

Türkiye'de PHP, kurumsal tanıtım sitelerinden e-ticaret mağazalarına, belediye portallarından üniversite sitelerine, bayi ve B2B panellerinden e-posta arayüzlerine (Roundcube) ve veritabanı yönetim araçlarına (phpMyAdmin) kadar çok geniş bir alanda kullanılmaktadır. WordPress tabanlı siteler, WooCommerce mağazaları, hazır e-ticaret paketleri ve ajansların teslim ettiği özel PHP uygulamaları bu kapsamdadır. Pek çok kurumun kendi sitesini bir ajans veya yönetilen barındırma (hosting) firması işletmektedir; bu durum hukuki sorumluluğu ortadan kaldırmaz, yalnızca paylaştırır (aşağıda tedarikçi bölümüne bakınız).

Siber Güvenlik Başkanlığı, 21 Ekim 2026 gecesi yaptığı açıklamayla PHP2Shell için ulusal çapta uyarı yayımladı. Açıklamaya göre Başkanlık, SOME İletişim Platformu üzerinden tüm kurum ve kuruluşlara ve kritik altyapı işletmecilerine teknik ve idari adımları içeren acil güvenlik bildirimi gönderdi; başta kamu kurumları ve özel şirketler olmak üzere tüm sistem yöneticilerini internete açık sistemlerini gözden geçirmeye, yayımlanan güvenlik güncellemelerini "ivedilikle" uygulamaya, ihtiyaç duyulmayan dış erişimleri sınırlandırmaya ve açık kalması gereken hizmetler için ek koruma katmanları oluşturmaya çağırdı. Bu açıklama, aşağıda ele alacağımız hukuki değerlendirme açısından önemlidir: Açık artık "bilinmesi beklenen" bir risktir ve devlet, önlem alınması gerektiğini kamuya açık biçimde duyurmuştur.

Yamayı uygulamamak hukuken ne anlama gelir?

Türk hukukunda bir siber saldırıya uğramak tek başına hukuka aykırılık değildir; saldırgan suçludur, kurum mağdurdur. Hukuki sorumluluk sorusu, saldırının önlenebilir olup olmadığında düğümlenir. Mahkemeler ve düzenleyici kurullar bu soruyu, olay tarihinde makul bir işletmecinin ne yapması gerektiğine bakarak cevaplar. PHP2Shell'de bu ölçüt alışılmadık biçimde nettir: Açık dünya çapında haber olmuş, üretici tam düzeltme yayımlamış, geçici çözümün yetersiz olduğunu açıklamış ve Türkiye'nin ulusal siber güvenlik otoritesi herkesi güncellemeye çağırmıştır. Bu koşullarda yamayı bilerek veya ihmalle geciktiren bir kurumun, sonradan ortaya çıkan zarar için "öngörülemezdi" savunması yapması güçtür.

Bu değerlendirme üç ayrı hukuk alanında sonuç doğurur: (1) idari sorumluluk — KVKK ve 7545 sayılı Kanun kapsamında idari para cezaları; (2) özel hukuk sorumluluğu — verisi sızan müşteri, hizmet alamayan iş ortağı veya zarar gören üçüncü kişilere karşı tazminat; (3) kurum içi sorumluluk — şirketlerde yönetim kurulu üyelerinin ve yöneticilerin, kamuda ise görevlilerin kişisel sorumluluğu. Aşağıda her birini ayrı ayrı ele alıyoruz.

KVKK açısından: Yama yönetimi bir "teknik tedbir" midir, veri sızıntısı nasıl bildirilir?

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi, veri sorumlusunu kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek için "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri" almakla yükümlü kılar. Kişisel Verileri Koruma Kurumu'nun yayımladığı Kişisel Veri Güvenliği Rehberi, bu teknik tedbirler arasında yazılım güncellemelerini, yama yönetimini ve bilinen güvenlik açıklarının izlenmesini açıkça saymaktadır. Kurul'un bugüne kadar yayımladığı ihlal kararlarında da güncel olmayan yazılım kullanılması ve bilinen açıkların kapatılmamış olması, m. 12 ihlalinin en sık tekrar eden gerekçelerinden biridir.

Veri ihlali bildirimi: 72 saat ne zaman başlar?

Kurul'un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı, m. 12/5'teki "en kısa süre" ifadesini Kurula bildirim için en geç 72 saat olarak yorumlamıştır. Süre, ihlalin gerçekleştiği andan değil, veri sorumlusunun ihlali öğrendiği andan itibaren işler. Bildirim, Kurumun internet sitesindeki Kişisel Veri İhlali Bildirim Formu ile yapılır; bilgiler aynı anda sağlanamıyorsa aşamalı olarak tamamlanabilir, haklı gerekçeyle gecikme varsa gerekçe bildirimle birlikte açıklanır. Etkilenen kişilere bildirim ise Kurul'un 2019/271 sayılı kararına göre, kişiler belirlendikten sonra makul en kısa sürede, açık ve sade bir dille yapılır; ihlalin zamanı, etkilenen veri kategorileri, olası sonuçlar, alınan tedbirler ve irtibat bilgileri bu bildirimde yer almalıdır.

PHP2Shell'in kendine özgü zorluğu şudur: Birinci açık, sunucuya iz bırakmadan bellek okunmasına imkân verir. Yani sitenizde veri sızdığını gösteren klasik bir belirti (değiştirilmiş dosya, yabancı yönetici hesabı) bulunmayabilir. Bu nedenle, "açık vardı ama saldırı olmadı" sonucuna varmadan önce web sunucusu ve PHP hata kayıtlarının incelenmesi gerekir. Araştırmacılar, açığın tetiklenmesinin tipik olarak çok parçalı (multipart/form-data) istekler ve ardından gelen bellek sınırı hataları veya tekrarlayan HTTP 500 cevaplarıyla kendini gösterdiğini belirtmektedir. Bu tür izler varsa, veri sorumlusunun ihlali "öğrendiği an" o inceleme anıdır ve 72 saat o andan itibaren işlemeye başlar. Kayıtlar hiç tutulmamışsa veya silinmişse, bu da başlı başına bir teknik tedbir eksikliği olarak değerlendirilebilir.

2026 yılı KVKK idari para cezaları

Ceza tutarı belirlenirken Kurul, ihlalin niteliğini, etkilenen kişi sayısını, veri sorumlusunun kusurunu ve ihlal sonrası tutumunu dikkate alır. Yamanın yayımlandığı gün uygulanmış olması, kayıtların incelenmiş ve bildirimlerin süresinde yapılmış olması, ceza riskini azaltan en somut unsurlardır. Kurulca verilen idari para cezalarına ve Kurul kararlarına karşı, KVKK m. 18/3 ve 2577 sayılı İYUK m. 7 uyarınca tebliğden itibaren 60 gün içinde idare mahkemesinde dava açılabilir.

7545 sayılı Siber Güvenlik Kanunu: Açıklık ve olay bildirimi herkes için zorunlu mu?

19 Mart 2025 tarihli ve 32846 sayılı Resmî Gazete'de yayımlanarak yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu, Türkiye'de siber güvenliğin çerçeve kanunudur. Kanun yalnızca bankaları veya telekom şirketlerini değil, "siber uzayda varlık gösteren, faaliyet yürüten, hizmet sunan" kamu kurum ve kuruluşlarını, gerçek ve tüzel kişileri kapsar (m. 2). Dolayısıyla internet sitesi olan bir şirket de kural olarak Kanun'un muhatabıdır. Kanun'un 7. maddesinin birinci fıkrası, (a), (b), (c), (ç) ve (d) bentlerinde beş yükümlülük sayar; bunlardan (c) bendi kamu kurumları ile kritik altyapılarda kullanılacak ürünlerin tedarikine, (ç) bendi sertifikasyona tabi siber güvenlik şirketlerine ilişkindir.

PHP2Shell özelinde iki yükümlülük öne çıkar. Birincisi, m. 7/1-b'deki "tedbir alma" yükümlülüğüdür: Ulusal otoritenin açıkça duyurduğu bir güncellemeyi uygulamamak, bu yükümlülüğün ihlali olarak yorumlanmaya açıktır. İkincisi, aynı bentteki "tespit edilen açıklık veya siber olayın gecikmeksizin bildirilmesi" yükümlülüğüdür. Kanun burada KVKK'dan farklı olarak saat veya gün belirtmez; "gecikmeksizin" ifadesinin ne anlama geldiğini belirleyecek yönetmelik ve tebliğler, Kanun'un bir yıllık hedef süresi 19 Mart 2026'da dolmasına rağmen henüz Resmî Gazete'de yayımlanmamıştır. Buna karşılık Siber Güvenlik Kurulu 5 Mayıs 2026 tarihli kararıyla 15 kritik altyapı sektörünü belirlemiştir: dijital altyapılar, dijital hizmetler, elektronik haberleşme, enerji, finans, gıda ve tarım, imalat sanayi, kamu hizmetleri, medya ve kriz iletişimi, posta ve kargo, sağlık, savunma sanayii, su yönetimi, ulaştırma ve uzay. Bu sektörlerdeki kuruluşlar için SOME kurma, düzenli sızma testi yaptırma ve log paylaşımı gibi ek yükümlülükler söz konusudur.

7545 sayılı Kanun'daki yaptırımlar

m. 16/5'teki suç, PHP2Shell gibi geniş yankı uyandıran olaylarda özellikle hatırlanmalıdır: Bir kurumun "hacklendiği" yönünde doğrulanmamış iddiaları sosyal medyada yaymak, iddianın gerçek olmadığı anlaşılırsa cezai sorumluluk doğurabilir. Aynı şekilde, sızdırıldığı iddia edilen veri setlerini indirip paylaşmak m. 16/4 ve TCK m. 136 kapsamında suçtur.

Kamu kurumları için: Bilgi ve İletişim Güvenliği Rehberi, hizmet kusuru ve görevlinin sorumluluğu

Kamu kurumları için yama yönetimi yıllardır yazılı bir yükümlülüktür. 2019/12 sayılı Cumhurbaşkanlığı Genelgesinin (RG 06.07.2019, 30823) 21. maddesi uyarınca Cumhurbaşkanlığı Dijital Dönüşüm Ofisi koordinasyonunda hazırlanıp 2020'de yayımlanan Bilgi ve İletişim Güvenliği Rehberi, kamu kurumlarının ve kritik altyapı işletmecilerinin uyacağı güvenlik tedbirlerini düzenler. Rehbere uyum, kurumların iç denetim ve Sayıştay denetimlerinde de ele alınan bir konudur. Siber Güvenlik Başkanlığının 21 Ekim gecesi SOME İletişim Platformu üzerinden gönderdiği acil bildirim, bu yükümlülüğün PHP2Shell için somutlaşmış hâlidir.

Vatandaşın verisi sızarsa idare sorumlu olur mu?

Anayasa'nın 125. maddesine göre idare, kendi eylem ve işlemlerinden doğan zararı ödemekle yükümlüdür. Bilinen ve resmen duyurulan bir açığın kapatılmaması nedeniyle vatandaşların kişisel verilerinin sızması, idare hukukunda "hizmet kusuru" olarak nitelendirilebilir; zarar gören kişi, 2577 sayılı İdari Yargılama Usulü Kanunu'nun 13. maddesi uyarınca önce idareye başvurup ardından idare mahkemesinde tam yargı davası açabilir. İdare, ödediği tazminatı Anayasa m. 129/5 ve 657 sayılı Devlet Memurları Kanunu m. 13 çerçevesinde kusurlu görevliye rücu edebilir. Kritik altyapı niteliğindeki kamu hizmetlerinde ise koruma görevinin gereğine aykırı davranan görevli için 7545 sayılı Kanun m. 16/9'daki hapis cezası ayrıca gündeme gelir. Uygulamada bu sorumluluk en çok, bütçe veya onay beklediği için güncellemenin ertelendiği ve bu kararın yazılı bir risk değerlendirmesine dayanmadığı durumlarda ortaya çıkar; bu nedenle güncellemenin ertelenmesi gerekiyorsa gerekçesi, telafi edici önlemler ve yeni takvim yazılı olarak kayıt altına alınmalıdır.

Belediyeler, üniversiteler ve kamu iktisadi teşebbüsleri

Türkiye'de belediye ve üniversite sitelerinin önemli bir bölümü WordPress veya benzeri PHP tabanlı sistemler üzerinde çalışmakta ve çoğu zaman dış bir firma tarafından barındırılmaktadır. Bu kurumlar hem Rehber'e hem de KVKK'ya tabidir; sitelerinde e-belediye, öğrenci bilgi sistemi, başvuru formu veya üyelik paneli varsa kişisel veri işliyor demektir. Tedarikçiyle yapılan sözleşmede yama uygulama süresinin ve siber olay bildirim yükümlülüğünün açıkça yazılı olmaması, sorumluluğu kurumdan uzaklaştırmaz; 4735 sayılı Kamu İhale Sözleşmeleri Kanunu kapsamındaki sözleşmelerde bile kusurlu tedarikçiye rücu için somut bir hüküm bulunması gerekir.

Şirket yöneticileri için: Bilgi güvenliği yönetim kurulunun özen yükümlülüğünün parçası mı?

6102 sayılı Türk Ticaret Kanunu'nun 369. maddesine göre anonim şirket yönetim kurulu üyeleri görevlerini "tedbirli bir yöneticinin özeniyle" yerine getirmek ve şirketin menfaatlerini dürüstlük kurallarına uyarak gözetmek zorundadır. Kanun'un 375. maddesi, şirketin yönetimi için gerekli düzenin kurulmasını ve finansal planlama dahil kurumsal yapının oluşturulmasını yönetim kurulunun devredilemez görevleri arasında sayar; bilgi sistemlerinin güvenliği bugün bu düzenin ayrılmaz parçasıdır. Pay senetleri borsada işlem gören şirketlerde ve diğer şirketlerde denetçinin gerekli görüp yönetim kuruluna yazılı olarak bildirdiği hâllerde m. 378 uyarınca kurulan riskin erken saptanması komitesi, şirketin varlığını tehlikeye düşüren riskleri izler; siber risk de bu kapsamda değerlendirilebilir. Limited şirketlerde müdürler için m. 626 aynı özen ölçütünü getirir.

Yönetim kurulu, bilgi güvenliğine ilişkin görevleri kanuna dayanarak bir bilgi işlem müdürüne veya dış firmaya devredebilir; TTK m. 553/2 uyarınca, devralan kişinin seçiminde makul özen göstermediği ispat edilmedikçe onun fiillerinden sorumlu olmaz, ancak TTK m. 375/1-e uyarınca yönetimle görevli kişilerin üst gözetimi devredilemez bir görev olarak yönetim kurulunda kalır. PHP2Shell gibi ulusal uyarı konusu olmuş bir açık karşısında "haberimiz yoktu" savunması, özellikle e-ticaret, finans ve sağlık gibi veri yoğun sektörlerde zayıf kalır. Şirketin bu açıkla ilgili aldığı kararın (güncelleme talimatı, geçici kapatma, tedarikçiye yazı) yönetim kurulu veya yönetim toplantısında kayda geçirilmesi, hem kusurun bulunmadığını ispat için hem de sigorta tazminatı için belirleyicidir.

Sektörel düzenlemeler: Bankalar, aracı kurumlar, telekom işletmecileri ve e-ticaret siteleri

Genel çerçevenin üzerine sektörel kurallar eklenir. Bu kuralların ortak özelliği, siber olay bildirimini KVKK'daki 72 saatten daha hızlı istemesi ve düzenli sızma testini zorunlu kılmasıdır. Aşağıdaki tablo başlıca düzenlemeleri özetler.

Kritik altyapı sektörlerinde faaliyet gösteren şirketler, bu kuralların yanı sıra 7545 sayılı Kanun'un kritik altyapılara özgü yükümlülüklerine de tabidir. Bu şirketlerde PHP2Shell gibi bir açığın kapatılmaması, aynı anda üç ayrı düzenleyicinin (sektörel kurum, Kişisel Verileri Koruma Kurulu ve Siber Güvenlik Başkanlığı) yaptırımını gündeme getirebilir.

Sitemi ajans veya hosting firması yönetiyor: Sorumluluk kimde?

Türkiye'de şirketlerin büyük çoğunluğu web sitesini bir yazılım ajansına yaptırmış ve bir barındırma firmasında tutmaktadır. Bu durumda üç ayrı ilişki vardır: Kurumun müşterilerine ve düzenleyicilere karşı sorumluluğu, kurumun tedarikçiyle sözleşme ilişkisi ve tedarikçinin kendi alt yüklenicileriyle ilişkisi. KVKK açısından veri sorumlusu her zaman kurumun kendisidir; barındırma ve ajans firması kural olarak "veri işleyen"dir ve m. 12/2 uyarınca güvenlik tedbirlerinden veri sorumlusuyla birlikte sorumludur. Kurul, veri sorumlusuna ceza verirken "tedarikçi güncellemedi" savunmasını kabul etmemekte, veri sorumlusunun tedarikçiyi denetlemiş olup olmadığına bakmaktadır.

Tedarikçiye karşı talep hakkı ise sözleşmeye dayanır. 6098 sayılı Türk Borçlar Kanunu m. 112 uyarınca borcunu hiç veya gereği gibi ifa etmeyen tedarikçi, kusursuzluğunu ispat etmedikçe doğan zarardan sorumludur; m. 116 uyarınca kullandığı yardımcı kişilerin (alt yüklenici, veri merkezi) davranışından da kendi davranışı gibi sorumlu olur. Sözleşmelerde sık görülen "güvenlik olaylarından sorumluluk kabul edilmez" kayıtları ise TBK m. 115 gereği tedarikçinin ağır kusuru hâlinde geçersizdir. Ulusal uyarı konusu bir açığın günlerce kapatılmaması, somut olayın koşullarına göre ağır kusur olarak değerlendirilebilir. Ticari nitelikli tazminat taleplerinde dava açmadan önce TTK m. 5/A uyarınca arabulucuya başvurmak zorunludur.

Sözleşmenizde bugün kontrol etmeniz gereken dört madde

• Yama ve güncelleme süresi: Kritik açıkların kaç saat içinde kapatılacağı yazılı mı? Yazılı değilse tedarikçiye bugün yazılı talimat verin ve cevabını saklayın.
• Siber olay bildirimi: Tedarikçi bir saldırı belirtisini size kaç saat içinde bildirmekle yükümlü? KVKK'nın 72 saati sizin için işler; tedarikçinin gecikmesi sizi kurtarmaz.
• Log ve delil saklama: Web sunucusu ve PHP kayıtlarının en az ne kadar süre tutulduğu ve talebiniz hâlinde size verileceği düzenlenmiş mi? 5651 sayılı Kanun yer sağlayıcıya trafik bilgisini en az bir, en çok iki yıl saklama yükümlülüğü getirir; ancak uygulama kayıtları bu kapsamda olmayabilir.
• Sorumluluk sınırı: Tazminat üst sınırı ve istisnalar neler? Ağır kusur hâlinde sınırlamanın geçersiz olduğunu unutmayın.

Saldırıya uğradıysak: Ceza hukuku boyutu ve delillerin korunması

PHP2Shell kullanılarak sisteme giren kişi, 5237 sayılı Türk Ceza Kanunu'nun 243. maddesindeki bilişim sistemine girme suçunu; sistemin işleyişini engeller veya bozarsa m. 244/1'deki suçu (bir yıldan beş yıla kadar hapis), verileri bozar, değiştirir veya silerse m. 244/2'deki suçu (altı aydan üç yıla kadar hapis; haksız çıkar sağlanması hâlinde m. 244/4 uyarınca iki yıldan altı yıla kadar hapis ve beş bin güne kadar adli para cezası); kişisel verileri ele geçirirse m. 136'daki suçu (iki yıldan dört yıla kadar hapis) işler. Fidye talebi varsa m. 107 şantaj veya m. 148 yağma, kart verisi kullanılırsa m. 245 ayrıca değerlendirilir. Saldırı Türkiye Cumhuriyeti'nin siber uzaydaki milli gücünü meydana getiren unsurlarına yönelikse, fiil daha ağır bir suç oluşturmadığı takdirde 7545 sayılı Kanun m. 16/6'daki sekiz yıldan on iki yıla kadar hapis cezası öngören suç gündeme gelir.

Mağdur kurumun ilk işi delilleri korumaktır. Sunucunun kapatılıp yeniden kurulması saldırganın izlerini de siler; bu yüzden önce disk imajı ve bellek dökümü alınmalı, web sunucusu, PHP-FPM ve sistem kayıtları ayrı bir ortama kopyalanmalı, ardından temiz kurulum yapılmalıdır. Elektronik delillerin mahkemede geçerli olması için aranan şartları CMK m. 134'e göre elektronik delillerin hukuka uygunluğu başlıklı yazımızda ayrıntılı ele almıştık. Saldırganın IP adresinin tek başına ne ifade ettiğini ise IP adresi tek başına faili gösterir mi? yazımızda bulabilirsiniz. Suç duyurusu, Cumhuriyet başsavcılığına veya kolluğun siber suçlarla mücadele birimlerine yapılır; şikâyet dilekçesine olayın zaman çizelgesi, etkilenen sistemler ve korunan delillerin listesi eklenmelidir.

Saldırının sonucunda müşteri verisi sızmış ve bu veri dolandırıcılıkta kullanılmaya başlanmışsa, müşterilerin sahte aramalara karşı uyarılması hem KVKK m. 12/5'in gereği hem de ikincil zararı önleyen bir adımdır. Bu tür aramaların nasıl işlediğini KYK borcu dolandırıcılığı yazımızda somut vakalarla anlatmıştık.

Verisi sızan müşteri veya vatandaş tazminat isteyebilir mi?

Evet. Kişisel verisi sızan kişi, KVKK m. 11/1-ğ uyarınca kişisel verilerin kanuna aykırı işlenmesi sebebiyle uğradığı zararın giderilmesini talep edebilir; bu talep özel hukukta 6098 sayılı Türk Borçlar Kanunu m. 49 (haksız fiil) ve m. 58 (kişilik hakkı ihlalinde manevi tazminat) hükümlerine dayanır. Müşteriyle sözleşme ilişkisi varsa TBK m. 112 de uygulanır. Kurul'un verdiği idari para cezası tazminat davasında kusurun ispatını kolaylaştırır; ancak ceza verilmemiş olması dava açılmasına engel değildir. Kamu kurumlarına karşı talepler ise yukarıda açıklandığı gibi idare mahkemesinde tam yargı davasıyla ileri sürülür.

Türk hukukunda toplu dava (class action) bulunmamakla birlikte, aynı olaydan zarar gören çok sayıda kişinin ayrı ayrı dava açması, kurum için ceza tutarından daha büyük bir yük oluşturabilir. Tüketici işlemlerinde 6502 sayılı Kanun uyarınca tüketici hakem heyeti ve tüketici mahkemesi görevlidir; manevi tazminat miktarları Yargıtay uygulamasında olayın ağırlığına, sızan verinin niteliğine ve kurumun olay sonrası tutumuna göre belirlenir.

İlk 72 saat için hukuki kontrol listesi

Aşağıdaki adımlar, teknik ekibinizin yama çalışmasıyla eş zamanlı yürütülmelidir. Her adımın tarih ve saatini kaydedin; bu kayıtlar ileride kusursuzluğunuzun en önemli delilidir.

1. Envanter çıkarın. PHP çalıştıran bütün sistemleri (kurumsal site, e-ticaret, bayi paneli, intranet, e-posta arayüzü, phpMyAdmin, test sunucuları) ve her birinin PHP sürümünü, barındırma yerini ve sorumlusunu listeleyin. Unutulmuş alt alan adları en sık giriş noktasıdır.
2. Güncelleyin veya kapatın. Her sistemi 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 sürümüne yükseltin. Hemen güncellenemeyen bir sistem varsa internete erişimini kesin veya yalnızca GET/HEAD isteklerine izin verin; kapatma kararını ve gerekçesini yazılı hâle getirin.
3. Tedarikçilere yazılı bildirim gönderin. Ajans ve barındırma firmanızdan güncellemenin yapıldığına dair yazılı teyit, PHP sürüm bilgisi ve son 30 günün erişim kayıtlarını isteyin. E-posta yeterlidir; cevapsız kalırsa noter aracılığıyla ihtar düşünün.
4. Kayıtları inceleyin. Son günlere ait web sunucusu ve PHP kayıtlarında olağan dışı çok parçalı (multipart/form-data) istekler, bellek sınırı hataları, tekrarlayan HTTP 500 cevapları, alışılmadık büyüklükte PHPSESSID çerezleri ve beklenmedik PHP süreç yeniden başlatmaları arayın. İnceleme tarihini ve sonucunu tutanağa bağlayın.
5. İhlal değerlendirmesi yapın. Sızıntı belirtisi varsa veri sorumlusu ihlali bu anda "öğrenmiş" sayılır: Kurula bildirim için 72 saat işlemeye başlar. Belirti yoksa bunu da gerekçeli biçimde kayda geçirin.
6. Bildirimleri paralel yürütün. Kişisel Verileri Koruma Kurulu (Veri İhlali Bildirim Formu), Siber Güvenlik Başkanlığı/USOM (7545 sayılı Kanun m. 7/1-b), varsa sektörel düzenleyici (BDDK, SPK, BTK, TCMB) ve sigorta şirketi. Etkilenen kişilere bildirimi kişiler belirlenir belirlenmez yapın.
7. Delilleri koruyun. Sızıntı şüphesi varsa sunucuyu silip yeniden kurmadan önce disk imajı alın; ardından suç duyurusunda bulunun.
8. Yönetime raporlayın. Alınan kararları yönetim kurulu veya üst yönetim kaydına geçirin; kamu kurumlarında Kurumsal SOME tutanağı ve üst yönetici bilgilendirmesi yapın.
9. Şifreleri ve anahtarları yenileyin. Bellek sızıntısı ihtimali nedeniyle yönetici parolaları, API anahtarları, veritabanı şifreleri ve gerekiyorsa TLS sertifikaları güncellemeden sonra değiştirilmelidir.
10. Sözleşme ve poliçeleri gözden geçirin. Tedarikçi sözleşmelerine yama süresi ve olay bildirimi maddeleri ekleyin; siber sigorta poliçenizdeki yama yönetimi şartını kontrol edin.

Sık yapılan hatalar

• "Bizim sitede kişisel veri yok" demek. İletişim formu, üyelik, çerez veya bülten kaydı varsa kişisel veri işliyorsunuz; ayrıca sunucu belleğindeki yönetici şifreleri de sızabilir.
• Yalnızca session.upload_progress ayarını kapatıp beklemek. PHP ve araştırmacılar bunun tek başına yeterli olmadığını açıkça belirtmektedir.
• Sunucuyu hemen silip yeniden kurmak. Saldırı izleri de silinir; önce imaj, sonra kurulum.
• Bildirimi "emin olunca" yapmak. Kurul, bilgiler eksikken de aşamalı bildirimi kabul eder; gecikmenin gerekçesini bildirimle birlikte sunun.
• Doğrulanmamış sızıntı iddialarını paylaşmak. 7545 sayılı Kanun m. 16/5 bu fiili suç olarak düzenler.
• Tedarikçiye güvenip yazılı teyit almamak. Kurul ve mahkemeler, kurumun tedarikçiyi denetleyip denetlemediğine bakar.

LimanLegal Hukuk Bürosu: siber olay, KVKK ve bilişim suçlarında hukuki destek

LimanLegal Hukuk Bürosu, Av. Coşkun GENÇ (İstanbul Barosu, Sicil No: 71680) yönetiminde, İstanbul Kartal Cevizli'deki bürosundan siber olaylardan etkilenen şirketlere, kamu kurumlarına ve verisi sızan kişilere hukuki destek vermektedir. Bu konudaki desteğimiz aşağıdaki işleri kapsar:

• Büro: LimanLegal Hukuk Bürosu — sorumlu avukat Av. Coşkun GENÇ, İstanbul Barosu, Sicil No: 71680
• Adres: Hukukçular Towers, Mustafa Kemal Paşa Caddesi, Cevizli, Seyitgazi Sokağı No:66/A, D:15, 34865 Kartal/İstanbul
• Telefon: +90 540 097 1035 · İletişim: limanlegal.com/iletisim · info@limanlegal.com
• Hizmet bölgesi: İstanbul geneli; Kartal, Kadıköy, Ataşehir, Maltepe, Ümraniye, Üsküdar, Pendik, Tuzla; İstanbul Anadolu Adliyesi (Kartal). KVKK ve Siber Güvenlik Başkanlığı bildirimleri ile tedarikçi yazışmaları ülke genelindeki kurumlar için uzaktan yürütülebilir.
• Bu konudaki hizmetler: siber olay anında hukuki müdahale planı ve 72 saat yönetimi; Kişisel Verileri Koruma Kurulu'na ihlal bildirimi ve ilgili kişi bildirim metinlerinin hazırlanması; Siber Güvenlik Başkanlığı ve sektörel düzenleyicilere bildirim; tedarikçi, ajans ve barındırma firmalarına ihtar ve tazminat talepleri; Kurul idari para cezalarına karşı iptal davası; suç duyurusu ve soruşturma takibi; verisi sızan kişiler için tazminat davaları; yönetim kurulu için siber risk sorumluluk değerlendirmesi.
• İlgili yazılarımız: CMK m. 134'e Göre Elektronik Delillerin Hukuka Uygunluğu, Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme Suçu (TCK m. 136), Sosyal Medya Üzerinden İşlenen Suçlar ve Delil Temini, Bilişim Suçu Avukatı: Kadıköy ve İstanbul'da Bilişim Suçları.

Büromuz sizi "siteniz hacklendi" diyerek arayıp ücret talep etmez; bizimle yalnız internet sitemizdeki ve bu sayfadaki iletişim bilgilerinden kurulan iletişime güvenin.

Yazar Hakkında

Av. Coşkun GENÇ, İstanbul Barosu'na kayıtlı (Sicil No: 71680) bir avukattır ve LimanLegal Hukuk Bürosu'nun kurucusudur. Bilişim suçları, nitelikli dolandırıcılık, banka ve kripto hesaplarına ilişkin koruma tedbirleri ile kişisel verilerin korunması alanlarında soruşturma ve kovuşturma dosyaları yürütmekte; bu alandaki yasal değişiklikleri ve Yargıtay kararlarını vatandaşların anlayabileceği bir dille limanlegal.com'da yayımlamaktadır.

Sıkça Sorulan Sorular (SSS)

Kaynaklar ve dayanaklar
— PHP güvenlik duyurusu ve düzeltilmiş sürümler (21 Ekim 2026)
— Wiz Research — PHP2Shell teknik analizi ve zaman çizelgesi
— The Hacker News — PHP acil yamaları ve sömürü durumu (21 Ekim 2026)
— Sansec — etkilenen platformlar ve geçici önlemler
— Siber Güvenlik Başkanlığı ulusal uyarısı (NTV, 21 Ekim 2026)
— 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 11, 12, 18
— Kişisel Verileri Koruma Kurulu'nun 24.01.2019 tarihli ve 2019/10 sayılı kararı (72 saat) ve 18.09.2019 tarihli ve 2019/271 sayılı kararı (ilgili kişiye bildirim); Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)
— 7545 sayılı Siber Güvenlik Kanunu (RG 19.03.2025, 32846) m. 2, 3, 7, 8, 16, 17
— Siber Güvenlik Kurulu'nun 5 Mayıs 2026 tarihli kritik altyapı sektörleri kararı; 2019/12 sayılı Cumhurbaşkanlığı Genelgesi ve Bilgi ve İletişim Güvenliği Rehberi
— 6102 sayılı Türk Ticaret Kanunu m. 5/A, 369, 375, 378, 553, 626; 6098 sayılı Türk Borçlar Kanunu m. 49, 58, 112, 115, 116; 5237 sayılı Türk Ceza Kanunu m. 136, 243, 244, 245
— Anayasa m. 125 ve 129; 2577 sayılı İdari Yargılama Usulü Kanunu m. 13; 657 sayılı Devlet Memurları Kanunu m. 13; 5651 sayılı Kanun m. 5
— BDDK — Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik (RG 15.03.2020) m. 18, 28; SPK VII-128.9 sayılı Tebliğ; BTK Elektronik Haberleşme Sektöründe Şebeke ve Bilgi Güvenliği Yönetmeliği
— Yeniden değerleme oranı %25,49 (VUK mük. m. 298; RG 27.11.2025, 33090) ile hesaplanan 2026 yılı KVKK idari para cezası tutarları

Bu yazı Av. Coşkun GENÇ tarafından genel bilgilendirme amacıyla hazırlanmıştır; hukuki tavsiye niteliği taşımaz. Somut olayınıza ilişkin değerlendirme için LimanLegal Hukuk Bürosu ile iletişime geçebilirsiniz.