Check Point, FedRAMP Sertifikalı Kamu Platformuna WAF Ekliyor

Check Point Software, 12 Kasım 2026’da duyurdu: Check Point Web Application and API Security, FedRAMP sertifikalı Check Point Platform for Government’a eklendi. Bu eklemeyle web uygulaması ve API koruması, yeni sertifikalı ve bağımsız bir platform oluşturulmadan şirketin mevcut sertifikalı federal çözümü üzerinden sunuluyor.

FedRAMP Marketplace kaydında WAF’ın yanı sıra Email & Collaboration, ThreatCloud AI ve yönetim Portalı da yer alıyor. Platform ilk FedRAMP sertifikasını 24 Eylül 2025’te aldı; sertifikasyon süreci devam ediyor ve Rev5 Agency Class C (Moderate) profili kapsamında bir yetkilendirmesi bulunuyor. Government Community Cloud’da hizmet olarak yazılım şeklinde listeleniyor. Federal görev sahipleri açısından pratik değişiklik, WAF’ın bu yerleşik paket üzerinden bulunabilmesi, değerlendirilebilmesi ve satın alınabilmesidir.

Sertifikalı Paketin Sunduğu Yenilikler

Check Point, WAF’ın internete açık uygulamaları ve API’leri bilinen güvenlik açıklarına, sıfırıncı gün saldırılarına ve API’lerin kötüye kullanımına karşı koruduğunu belirtiyor. Paket; otomatik API keşfi, şema doğrulama ve kimlik doğrulama zorunluluğunu bot saldırılarını azaltma, dağıtık hizmet engelleme saldırılarına karşı koruma ve CDN ile entegre dağıtım özellikleriyle bir araya getiriyor. Üretken yapay zekâ uygulamalarına yönelik denetimleri istem enjeksiyonunu, veri sızıntısını ve zararlı içeriği ele alırken merkezi yönetim, kurumların kullandığı ayrı uygulama güvenliği araçlarının sayısını azaltmayı amaçlıyor.

Kamu Sektöründeki Veri İhlallerinin Görünümü

Verizon’ın 2026 Veri İhlali Araştırmaları Raporu’nun kamu sektörüne ilişkin kesiti, bu genişlemenin arka planını ortaya koyuyor. Kamu Yönetimi veri kümesi, Ekim 2024’ten Kasım 2025’e kadar olan dönemi kapsıyor ve 2.410’unda veri ifşasının doğrulandığı toplam 3.634 olayı kaydediyor. İhlallerin %40’ında ilk erişim yöntemi güvenlik açıklarından yararlanmaydı; kimlik avında bu oran %20, kimlik bilgilerinin kötüye kullanımındaysa %8’di. Bu ihlallerin %50’sinde kişisel veriler, %39’unda kurum içi veriler ve %30’unda sırlar yer aldı.

Verizon, kamu verisi kümesine katkıda bulunanların sayısının özel sektör veri kümelerindekinden daha az olduğu ve bu nedenle kümenin yanlılığa daha açık olduğu konusunda uyarıyor. Yine de ilk erişim yöntemlerine ilişkin dağılım, özellikle eski veya üçüncü taraf uygulamaların her zaman hemen yamalanamadığı durumlarda, kamuya açık sistemlerin karşı karşıya olduğu riskleri gözler önüne seriyor.

PHP2Shell ve Ağ Geçidi Korumasının Sınırları

21 Ekim 2026 tarihli Check Point Research notu, yakın tarihli bir koruma örneği sunuyor. Notta, her biri CVSS v4.0 ölçeğinde 9.2 olarak derecelendirilen iki kritik PHP güvenlik açığı anlatılıyor ve erken aşamadaki kavram kanıtlama amaçlı saldırı testlerinde WAF motorunun uzaktan kabuk çalıştırma girişimini önceden engellediği bildiriliyor.

Aynı notta, ağ geçidi denetimlerinin riski azalttığı ancak PHP’yi güncellemenin yerini tutmadığı belirtiliyor; çünkü güvenlik açıkları yorumlayıcıda bulunuyor ve incelenmeyen şifreli trafik ağ imzalarını atlatıyor. Bu uyarı, federal düzeydeki duyuru açısından önem taşıyor: WAF önleyici bir katman ekleyebilir, ancak yazılımı düzeltmeye yönelik temel çalışmaları ortadan kaldırmaz.

Bu genişleme, kurumlara uygulama savunmalarını mevcut sertifikalı bir hizmette birleştirme olanağı sunuyor; ancak PHP2Shell, operasyonel zorlukların sürdüğünü hatırlatıyor. Önleyici denetimler, düzeltme çalışmaları tamamlanmadan önce riski azaltabilir; yine de temel riski gidermek için yamalama ve şifreli trafiğin incelenmesi gerekiyor.