PHP2Shell: PHP’de Kritik Açık, Siteniz Etkileniyor mu? Ne Yapmalısınız?

21 Ekim 2026'da PHP ekibi, iki kritik güvenlik açığını kapatan acil bir güncelleme yayınladı. PHP2Shell adıyla anılan bu açıklar, internetteki web sitelerinin büyük bir kısmını ilgilendiriyor; çünkü sorun bir eklentide ya da temada değil, doğrudan PHP'nin kendisinde. WordPress, Laravel ya da elle yazılmış bir site fark etmez: PHP ile çalışan her site bu açıktan etkilenebilir.

PHP2Shell Nedir?

PHP2Shell, iki ayrı açığın ortak adı:

• CVE-2026-109618: PHP'nin belleği tükendiğinde istek verileri yarım kalabiliyor; PHP isteği temizlerken bu bozuk veriyi geçerliymiş gibi kullanıyor.
• CVE-2026-109619: Bir isteğe ait iç veriler, belleği serbest bırakıldıktan sonra da kullanılmaya devam edebiliyor ve aynı PHP işlemine gelen sonraki bir istek bunu kötüye kullanabiliyor.

Teknik ayrıntı bir yana, sonuç aynı: uzaktan kod çalıştırma. Yani saldırgan, siteye özel hazırlanmış bir istek göndererek sunucuda kendi kodunu çalıştırabiliyor. İki açık da 10 üzerinden 9.2 önem puanı aldı.

Neden Bu Kadar Ciddi?

• Giriş gerektirmiyor: Saldırganın sitede bir hesabı olması gerekmiyor.
• Sitenin kodundan önce çalışıyor: Açık, sitenin kodu devreye girmeden PHP'nin isteği işlediği aşamada tetikleniyor. Bu yüzden eklenti, tema ya da CMS güncellemeleri koruma sağlamıyor.
• Neredeyse her kurulum etkileniyor: PHP-FPM, Apache mod_php, php-cgi, LiteSpeed ve FrankenPHP; web isteği karşılayan her PHP kurulumu etkileniyor. En riskli yapılandırma Apache mod_php.
• Erken sızdı: Açığın bilgileri, güncelleme yayınlanmadan bir gün önce internette sızdı ve PHP ekibi güncellemeyi bu yüzden öne çekti. Cloudflare ve bazı güvenlik firmaları, güncelleme çıktığı sırada ilk saldırı girişimlerini gördüklerini bildirdi.

Araştırmacıların taramalarına göre internete açık 2 milyonu aşkın PHP sunucusu var ve sürümünü gösterenlerin yarıdan fazlası, resmî düzeltme gelmeyecek eski bir PHP sürümünde çalışıyor.

Hangi Sürümler Güvenli?

Avrupa Birliği'nin siber güvenlik ekibi CERT-EU'ya göre açık, PHP 5'ten bu yana neredeyse tüm sürümleri etkiliyor. Düzeltilmiş sürümler şunlar:

• PHP 8.5 → 8.5.12 ve üstü
• PHP 8.4 → 8.4.27 ve üstü
• PHP 8.3 → 8.3.36 ve üstü
• PHP 8.2 → 8.2.35 ve üstü

PHP 8.1 ve daha eski sürümler artık resmî olarak desteklenmiyor. 7.4, 8.0 ve 8.1 için yalnızca PHP'yi kendisi derleyenlere yönelik küçük yamalar yayınlandı; 7.3 ve öncesi için hiçbir şey yok. Bu sürümlerden birini kullanan siteler için en doğru çözüm, desteklenen bir sürüme geçmek.

Site Etkileniyor mu? Ne Yapılmalı?

1. PHP sürümü öğrenilir

Paylaşımlı hostingde sürüm, hosting panelindeki PHP ayarları bölümünde görülebilir. Sunucuyu kendisi yönetenler için terminaldeki php -v çıktısı, web sitesinin kullandığı sürümle aynı olmayabilir; sitenin gerçekten hangi sürümle çalıştığı ayrıca kontrol edilmeli.

2. Eski bir sürümdeyse yükseltilir

Site PHP 8.1 veya daha eski bir sürümde çalışıyorsa, desteklenen bir sürüme (8.3 ya da 8.4 gibi) geçilmeli. Geçişten sonra sitenin ana sayfası, birkaç iç sayfası ve yönetim paneli açılıp her şeyin çalıştığından emin olunmalı. Sorun çıkarsa eski sürüme dönülüp geliştiriciye danışılabilir.

3. Hosting firmasına sorulur

Paylaşımlı hostingde PHP'yi site sahibi değil, hosting firması günceller. Doğru sürüm seçilmiş olsa bile, o sürümün yamalı hâlinin sunucuya kurulduğundan emin olmak için firmaya bir destek talebi açılmalı ve sunucudaki PHP'nin PHP2Shell'e karşı güncellenip güncellenmediği sorulmalı. Büyük hosting firmalarının çoğu güncellemeyi ilk birkaç gün içinde yaptı.

4. Sunucuyu kendisi yönetenler için

PHP düzeltilmiş sürüme güncellenmeli ve güncellemenin devreye girmesi için PHP-FPM ya da web sunucusu yeniden başlatılmalı. Linux dağıtımları yamaları kendi paketlerine de ekledi; kullanılan dağıtımın güvenlik duyuruları takip edilmeli. Hemen güncelleme yapılamıyorsa, Cloudflare gibi bir hizmetin web güvenlik duvarı (WAF) bilinen saldırı yöntemlerini geçici olarak engelleyebilir, ama bu kalıcı bir çözüm değil.

5. Güncellemeden sonra kontrol yapılır

Site güncellemeden önce bir süre açık kaldıysa, içeri sızılıp sızılmadığına bakmakta fayda var:

• Site sahibinin eklemediği PHP dosyaları var mı? Özellikle resim yükleme klasörlerine bakılmalı; saldırganlar arka kapı dosyalarını genellikle oralara gizler.
• Son günlerde site sahibi dışında değişmiş dosyalar var mı?
• .htaccess dosyalarına yabancı yönlendirme kuralları eklenmiş mi?
• Hosting panelinde tanınmayan zamanlanmış görevler (cron) var mı?
• Sitede yeni bir yönetici hesabı açılmış mı?

Şüpheli bir şey bulunursa yönetici şifreleri ve veritabanı şifresi değiştirilmeli, hosting firmasından destek istenmeli.

Kısacası

PHP ile çalışan sitelerde PHP sürümü kontrol edilmeli, desteklenen bir sürümde olunduğundan emin olunmalı ve yamanın yapıldığı hosting firmasına teyit ettirilmeli. Bu açığın tek gerçek çözümü PHP'yi güncellemek; eklenti ya da tema güncellemeleri işe yaramıyor.