PHP2Shell: PHP’deki Kritik Açık ve Sitenizi Korumak İçin Yapmanız Gerekenler

Ekim 2026’da PHP çekirdeğinde iki kritik uzaktan kod çalıştırma açığı duyuruldu: CVE-2026-109618 ve CVE-2026-109619. Güvenlik araştırmacılarının “PHP2Shell” adını verdiği bu açıklar, saldırganın kimlik doğrulaması olmadan sunucuda kod çalıştırmasına imkân tanıyabiliyor. Açık PHP’nin kendisinde olduğu için WordPress, Laravel ya da özel yazılım fark etmeksizin güncellenmemiş PHP ile çalışan her site risk altında.

Kısa zaman çizelgesi

• Ağustos 2026: Açıklar araştırmacılar tarafından PHP ekibine bildirildi.
• 17 Ekim: Resmî duyurudan önce ilk istismar denemeleri gözlendi.
• 20 Ekim: Açık bilgileri planlanandan önce sızdı.
• 21 Ekim: PHP yamalı sürümleri yayımladı.
• 23 Ekim: Oturum yükleme ilerlemesi özelliğinde üçüncü bir açık (CVE-2026-115560) duyuruldu.

Etkilenen ve düzeltilmiş sürümler

mod_php, PHP-FPM, php-cgi ve LiteSpeed gibi web isteklerine hizmet veren tüm çalışma biçimleri etkileniyor.

Sitenizin etkilenip etkilenmediğini nasıl anlarsınız?

1. Sunucuda php -v ve php-fpm -v ile web isteklerini karşılayan PHP sürümünü kontrol edin.
2. Linux dağıtımının paketlerini kullanıyorsanız yama, sürüm numarası değişmeden gelmiş olabilir; dağıtımın güvenlik bültenine bakın.
3. Paylaşımlı hostingdeyseniz sağlayıcınıza PHP derleme tarihini sorun; 21 Ekim 2026 veya sonrası olmalı.

Ne yapmalısınız?

• PHP’yi güncelleyin ve servisleri yeniden başlatın. Kalıcı çözüm budur; güncellemeden sonra PHP-FPM veya web sunucusu yeniden başlatılmazsa eski sürüm çalışmaya devam eder.
• Geçici önlem: Güncelleme hemen mümkün değilse php.ini içinde session.upload_progress.enabled = Off ayarını yapın. Bu ayar açıkların yalnızca bir kısmını kapatır, yamanın yerini tutmaz.
• Güvenlik duvarı tek başına yetmez: Web uygulama güvenlik duvarları istismar denemelerinin çoğunu engelledi, ancak saldırganlar istekleri değiştirerek kuralları aşmaya çalışıyor.
• Eklenti veya CMS güncellemesi çözmez: Açık PHP’nin içinde; WordPress eklentilerini güncellemek tek başına koruma sağlamaz.
• İzleyin: PHP süreçlerinin beklenmedik komut satırı veya indirme araçları başlatıp başlatmadığını loglardan takip edin.

Eski PHP sürümünde kalan sistemler

PHP 7.4 veya 8.0 ile çalışan eski projeler bu tür açıklarda en savunmasız grup. Uygulamayı güncel PHP’ye taşımak her zaman ilk tercih olmalı; mümkün değilse sistemi dış erişimden izole etmek ve dağıtımın sunduğu geri taşınmış (backport) yamaları kullanmak gerekiyor.

Sunucularınızın PHP sürümünü kontrol etmemizi ve güvenli şekilde güncellememizi isterseniz bizimle iletişime geçin.