Turkse cyberveiligheidsdienst waarschuwt landelijk voor kritiek PHP-lek

De Cyber Güvenlik Başkanlığı, de Turkse presidentiële cyberveiligheidsdienst, waarschuwt landelijk voor twee kritieke kwetsbaarheden in PHP. PHP is een programmeertaal waarmee wereldwijd een groot deel van de websites en onlinediensten van overheden, bedrijven en instellingen draait, ook in Turkije. De dienst duidt het lek aan als PHP2Shell, geregistreerd als CVE-2026-109618 en CVE-2026-109619. Zo’n CVE-nummer is een internationaal register-ID waarmee beveiligingsonderzoekers en softwarebeheerders dezelfde kwetsbaarheid eenduidig kunnen aanduiden. Aanvallers kunnen er onder bepaalde omstandigheden op afstand en zonder authenticatie code mee uitvoeren op een server. Dat betekent dat ze een systeem kunnen overnemen zonder dat ze eerst moeten inloggen, alleen via het netwerk. Volgens de dienst brengt dat risico’s met zich mee: ongeautoriseerde toegang, datalekken en verstoring van dienstverlening. De Cyber Güvenlik Başkanlığı (Cumhurbaşkanlığı Siber Güvenlik Başkanlığı) coördineert landelijke waarschuwingen en beveiligingsscans. Voor de communicatie met instellingen gebruikt de dienst de Cyber Olay Müdahale Ekipleri (SOME), de Turkse incident-responseteams. Die teams vormen de vaste schakel tussen de dienst in Ankara en de ICT-afdelingen van afzonderlijke overheidsorganen en bedrijven in heel Turkije.

Naar aanleiding van de waarschuwing meldt de Cyber Güvenlik Başkanlığı dat een landelijke beveiligingsscan is gestart. De scan richt zich vooral op overheidsinstellingen en systemen van vitale infrastructuur. Onder vitale infrastructuur vallen onder meer de energievoorziening, drinkwater, banken en telecommunicatie: sectoren waar uitval direct voelbaar is voor burgers. Meldingen over het lek werden met spoed verspreid via SOME, naar alle instellingen en operators van kritieke infrastructuur. PHP draait wereldwijd achter een groot deel van de websites en onlinediensten van overheden en bedrijven. Dat verklaart waarom de dienst voor een landelijke, sectorbrede scan kiest, in plaats van losse meldingen per instelling. Ook gemeentelijke sites en digitale overheidsloketten waar Nederlanders en Belgen in Turkije voor verblijfspapieren, belasting of zorg terechtkomen, draaien doorgaans op dit soort serversoftware.

De Cyber Güvenlik Başkanlığı roept instellingen op om eerst te controleren welke van hun systemen de kwetsbare PHP-versie gebruiken. Zodra de officiële beveiligingsupdate beschikbaar is, moeten die systemen zonder uitstel worden geüpgraded naar de veilige versie. Instellingen moeten verder de externe toegang tot beheerinterfaces en kritieke PHP-diensten beperken tot vertrouwde IP-adressen, via firewall- en ACL-regels. Een firewall filtert dataverkeer op basis van vaste regels, een ACL-lijst legt vast welke adressen specifieke toegang krijgen; samen beperken ze wie een systeem van buitenaf kan bereiken. Systemen die geen buitenlandse toegang nodig hebben, moeten direct worden afgesloten van internationaal verkeer, zodat aanvallers van buiten Turkije er niet meer bij kunnen. De dienst wil zo voorkomen dat kwaadwillenden tijd krijgen om het lek te misbruiken voordat beheerders de update hebben doorgevoerd.

Dit lek bleef niet beperkt tot Turkije: de Wikimedia Foundation meldt zelf dat haar Phabricator-omgeving offline werd gehaald tijdens het incident. Phabricator is het projectbeheer- en bugtrackingsysteem van de organisatie achter onder meer Wikipedia. Programmeurs en vrijwilligers van Wikimedia-projecten gebruiken dat systeem om fouten en nieuwe functies bij te houden. De melding bevestigt, los van de Turkse systemen, dat de kwetsbaarheid ook buiten Turkije voor hinder zorgde. De uitval vond plaats op 21 oktober om 15.24 uur Turkse tijd (12.24 uur UTC).