OrtaII Siber Savaş ve Kritik Altyapı3 Kasım 2026, Salı
Hindistan CERT-In'e kamu kurumlarına yama dayatma yetkisi vermeyi tartışıyor
Yetkililerin 3 Kasım'da Economic Times'a aktardığına göre Yeni Delhi, siber müdahale ekibi CERT-In'e kamu kurumlarını kritik açıkları belirli sürede kapatmaya zorlayacak yetki vermeyi değerlendiriyor. Tetikleyici, PHP2Shell açıklarına maruz kalan 303 kamu ve kritik sektör sitesi.
BİT Bakanlığı Müsteşarı S. Krishnan 24 Ekim'de CERT-In'in yaklaşık 60.000 Hint sitesini potansiyel olarak savunmasız işaretlediğini söyledi. Bunların 303'ü devlet ve kritik sektöre ait: 89 merkezi kurum, 80 eyalet ve birlik bölgesi kurumu, 51 kamu şirketi ve 83 kritik sektör kuruluşu. Ulusal Bilişim Merkezi kendi 112 kritik sisteminden 14'ünü savunmasız bulup yamaladı; diğer kurumlar için süre konmadı.
PHP2Shell, sunucuda oturum açmadan kod çalıştırmaya izin veren 2 kritik PHP açığının adı: CVE-2026-109618 ve CVE-2026-109619, CVSS 4.0 ölçeğinde 9,2 puan. PHP geliştiricileri 21 Ekim'de acil yama yayımladı; 8.1 ve öncesine resmî yama yok. Free Press Journal'a göre Hindistan'da doğrulanmış kurban yok. Hollanda, Finlandiya, Fransa ve Danimarka bazı kamu sitelerini önlem olarak kapattı.
Kısıt yasal: CERT-In uyarıları bugün bağlayıcı değil, bu yüzden yamanın hızı kurumun kendi kararına kalıyor. Kaynaklar CERT-In bildiriminin numarasında ayrışıyor; bir kaynak 21 Ekim tarihli CIVN-2026-0510, bir başkası 23 Ekim tarihli CIAD-2026-0052 veriyor.
Talay değerlendirmesi
Sonuç
Hindistan, siber uyarıdan siber zorunluluğa geçmeyi tartışıyor. 303 kritik sitenin açık kalması, gönüllü yama rejiminin kamu tarafında işlemediğini gösteriyor. Bağlayıcı süre getirilirse kamu kurumlarının bilişim bütçesi ve tedarikçi yükü artar; getirilmezse bir sonraki kritik açık aynı tabloyu tekrarlar.
Olası etkiler
- Kamu bilişimiBelirsizOrta vade
Bağlayıcı yama süresi 89 merkezi ve 80 eyalet kurumunda bütçe ve personel ihtiyacını öne çeker; eski PHP sürümlerinde yükseltme zorunlu hâle gelir.
- Kritik altyapı riskiOlumsuzKısa vade
Doğrulanmış kurban olmasa da 83 kritik sektör kuruluşunun maruz kalması, uzaktan kod çalıştırma riskini enerji ve finans sistemlerine taşıyor.
- Siber sigortaBelirsizUzun vade
Yasal yama süresi, kurumların açık bilinen zafiyetten doğan zararda teminat tartışmasını netleştirir; süreyi kaçıran kurumun talebi zayıflar.
İhtimaller
- 1Taslak çıkar, süre belirsiz%50
BİT Bakanlığı bağlayıcı yetkiyi kural taslağına taşır, ama kesin yama süreleri kurumlarla pazarlığa kalır.
İzlenecek: BİT Bakanlığı'nın CERT-In kurallarına ilişkin taslak bildirimi
- 2Hızlı zorunluluk%30
Bir kamu sitesinde PHP2Shell kaynaklı ihlal doğrulanır ve bakanlık süreli yama talimatını hemen çıkarır.
İzlenecek: CERT-In'in doğrulanmış PHP2Shell olayı bildirimi
- 3Gönüllü rejim sürer%20
Tartışma rafa kalkar, uyarılar bağlayıcı olmayan statüde kalır.
İzlenecek: Kış oturumunda BİT mevzuat gündemi
Olasılıklar kaynaklara dayanan kalibre yargıdır, ölçüm değildir; yeni bilgiyle güncellenir. Yatırım tavsiyesi değildir.
Piyasa tepkisi
Etkilenen göstergeler
- Maruz kamu sitesi▼ 303
- İşaretlenen site▼ ≈60.000
- NIC savunmasız sistem▼ 14/112