PHP2Shell açığı: Web sitesi sahipleri ne yapmalı?

PHP2Shell, PHP’de 21 Ekim 2026’da duyurulan iki kritik güvenlik açığının (CVE-2026-109618 ve CVE-2026-109619) adıdır. Açıklar, saldırganın şifre gerekmeden sunucuda kendi kodunu çalıştırmasına yol açabiliyor. Web siteniz PHP ile çalışıyorsa (WordPress, Joomla, OpenCart ya da özel yazılmış PHP siteler dahil) yapmanız gereken tek kalıcı şey, sunucudaki PHP’nin yamalı sürüme güncellendiğinden emin olmaktır. Paylaşımlı hostingde bu güncellemeyi hosting firması yapar; sizin işiniz doğru soruyu sorup sonucu doğrulamaktır.

PHP2Shell nedir?

PHP ekibinin duyurusuna göre iki açık da kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya izin verebiliyor ve CVSS v4.0 ölçeğinde 9,2 ile “kritik” olarak derecelendirildi. Biri, bellek sınırına takılan bir isteğin PHP’nin iç verisini yarım bırakmasından (CVE-2026-109618); diğeri, bir istekten kalan iç durumun sonraki istekte kullanılmasından (CVE-2026-109619) kaynaklanıyor. Saldırı, sitenizin kendi kodu çalışmadan önce gerçekleşebildiği için sorun sitenin yazılımında değil, sunucudaki PHP’nin kendisinde.

Reuters’ın haberine göre açıklar yapay zekâ destekli araştırmayla bulundu ve yamalar yayımlandıktan sonra Avrupa’da bazı kamu kurumları sitelerini önlem olarak geçici olarak kapattı.

Türkiye’de resmî bir uyarı var mı?

Evet. T.C. Siber Güvenlik Başkanlığı 21 Ekim 2026’da bir duyuru ve TR-26-1372 numaralı güvenlik bildirimi yayımladı. Duyuruya göre Başkanlık ulusal ölçekte güvenlik taramaları başlattı ve ilgili kurumlara acil bildirimler iletti; kamu kurumları, kritik altyapı işletmecileri ve özel sektör kuruluşlarının sistemlerini gözden geçirip güvenlik güncellemelerini ivedilikle uygulaması isteniyor.

Bildirimde önerilen önlemler özetle şöyle:

• Etkilenen sistemlerin belirlenmesi ve üreticinin yayımladığı güvenli sürümlere gecikmeden yükseltilmesi,
• Yönetim arayüzlerine ve kritik PHP servislerine dışarıdan erişimin güvenlik duvarı kurallarıyla yalnızca güvenilir IP adreslerine sınırlandırılması,
• Yurt dışından erişim ihtiyacı olmayan sistemlerin uluslararası trafiğe kapatılması.

Son iki madde daha çok kurumlar ve kendi sunucusunu yöneten ekipler içindir. Paylaşımlı hostingdeki bir site sahibi için en uygulanabilir karşılığı, yönetim panelinizin (ör. WordPress yönetim sayfası) erişimini kısıtlama imkânı olup olmadığını hosting firmanıza ya da sitenizi yapan ekibe sormaktır.

Hangi siteler etkileniyor?

PHP ile çalışan ve sunucusundaki PHP yamalanmamış her site risk altında. Resmî bildirimde riskin en yüksek olduğu kurulum Apache + mod_php olarak belirtiliyor; PHP-FPM ve LiteSpeed (LSAPI) da etkilenebilecek kurulumlar arasında sayılıyor.

Sitenizin güvende olup olmadığını nasıl anlarsınız?

1. Sitenizin PHP ile çalışıp çalışmadığını öğrenin. WordPress, Joomla, OpenCart, PrestaShop ve çoğu özel yazılım PHP kullanır. Emin değilseniz sitenizi yapan firmaya sorun.
2. Hosting firmanıza sorun. Aşağıdaki soruları kullanabilirsiniz.
3. Sürümü doğrulayın. cPanel’deki “PHP Sürümü Seç” ekranı çoğu zaman yalnızca “8.3” gibi ana sürümü gösterir; yamalı olup olmadığını anlamak için alt sürüm (ör. 8.3.36) gerekir. Teknik ekibiniz bunu sunucuda kısa bir kontrol dosyasıyla görebilir; dosya kontrolden hemen sonra silinmelidir.

Hosting firmanıza ne sormalısınız?

• Sunucudaki PHP, yamalı sürüme (8.2.35 / 8.3.36 / 8.4.27 / 8.5.12) güncellendi mi?
• Güncellemeden sonra PHP süreçleri (PHP-FPM, LiteSpeed ya da Apache) yeniden başlatıldı mı? Yeniden başlatılmazsa eski sürüm çalışmaya devam edebilir.
• Güncelleme henüz yapılmadıysa ne zaman yapılacak; o zamana kadar sunucu düzeyinde geçici önlem alınıyor mu?
• Hesabımda 8.1 ya da daha eski PHP kullanan site var mı?

Geçici önlemler işe yarar mı?

PHP ekibinin açık ifadesiyle tam bir geçici önlem yok; tek güvenli yol güncellemektir. Bildirimde önerilen bazı ayarlar (ör. session.upload_progress.enabled=0) riski azaltır ama yalnızca sunucunun ana yapılandırmasında yapıldığında etkilidir. Sitenin klasöründeki .user.ini dosyasıyla yapılan ayarın bu açığa karşı koruma sağlamadığı resmî bildirimde ayrıca belirtiliyor. Bu nedenle paylaşımlı hostingde önlem de güncelleme de hosting firmasının işidir.

Yamadan sonra neleri kontrol etmelisiniz?

• Hosting panelinizde (ör. Imunify360 ya da virüs tarayıcı) bir tarama yapın.
• 21 Ekim 2026’dan sonra eklenmiş ya da değişmiş, tanımadığınız .php dosyalarına bakın; özellikle görsel ve yükleme klasörlerinde PHP dosyası olmamalıdır.
• Yönetim panellerinde (WordPress dahil) tanımadığınız yeni bir yönetici hesabı olup olmadığını kontrol edin.
• Sunucunuzdan olağandışı e-posta gönderimi ya da sitenizde sizin eklemediğiniz bağlantılar varsa hosting firmanıza bildirin.

Kaynaklar

Türkiye resmî kaynakları

• T.C. Siber Güvenlik Başkanlığı – PHP zafiyet duyurusu (21 Ekim 2026)
• T.C. Siber Güvenlik Başkanlığı – TR-26-1372 PHP Programlama Dili Güvenlik Bildirimi

PHP projesi

• php.net – 2026 duyuruları (21 Ekim güvenlik sürümleri ve bildirimi)
• php.net – Desteklenen PHP sürümleri
• PHP GitHub güvenlik bildirimi – CVE-2026-109618
• PHP GitHub güvenlik bildirimi – CVE-2026-109619
• The PHP Foundation – Today’s PHP Security Release

Uluslararası kurumlar ve haberler

• CISA (ABD) – Critical Vulnerabilities in PHP Require Immediate Patching
• Reuters (ThePrint) – Government websites go dark after AI-discovered flaw
• Help Net Security – PHP2Shell: Critical PHP vulnerabilities patched
• The Hacker News – PHP2Shell
• Infosecurity Magazine – Critical PHP Vulnerabilities Leaked Ahead of Scheduled Patch

Sitenizin hangi PHP sürümünde çalıştığından ya da hosting firmanızdan gelen cevabın ne anlama geldiğinden emin değilseniz bize yazın; birlikte bakalım.