PHP Güvenlik Açığı (PHP2Shell) Nedir? Web Siteniz Etkilendi mi, Ne Yapmalısınız?

PHP2Shell, PHP'de 21 Ekim 2026'da düzeltilen iki kritik uzaktan kod çalıştırma açığına (CVE-2026-109618 ve CVE-2026-109619) verilen addır. Siteniz PHP 8.5.12, 8.4.27, 8.3.36 ya da 8.2.35'ten eski bir sürümde çalışıyorsa etkilenir. Tam çözüm PHP'yi güncellemektir; hosting sağlayıcınıza ya da BT ekibinize bugün sorun.

Haberlerde "PHP açığı" olarak geçen gelişme, birçok kurumun aynı soruyu sormasına neden oldu: sitemiz güvende mi? Bu yazı, o soruya kaynaklara dayalı ve sakin bir yanıt veriyor: açığın ne olduğunu, hangi sürümlerin etkilendiğini ve bugün yapılacakları anlatıyoruz.

Teknik bilgilerin kaynağı CERT-EU'nun güvenlik bülteni ve PHP Vakfı'nın duyurusudur; bağlantıları yazının içinde bulabilirsiniz.

PHP nedir ve neden bu kadar çok site etkileniyor?

PHP, web sunucularında çalışan, yaygın bir programlama dilidir. WordPress gibi birçok içerik yönetim sistemi ve e-ticaret yazılımı PHP ile yazılmıştır. Bir sitenin PHP üzerinde çalışması, bu açığın o siteyi doğrudan ilgilendirebileceği anlamına gelir; açık, WordPress gibi uygulamalarda değil, PHP'nin kendisindedir.

CERT-EU'ya göre web isteklerine hizmet veren her PHP kurulumu risk altındadır: PHP-FPM, Apache ile mod_php, php-cgi, FrankenPHP ve LiteSpeed dahil. PHP ekibi mod_php'yi en yüksek riskli kurulum olarak değerlendiriyor.

PHP2Shell (PHP güvenlik açığı) tam olarak nedir?

PHP2Shell, PHP'nin çekirdeğindeki iki açığın birlikte anıldığı addır. İkisi de CVSS v4.0 ölçeğinde 9,2 puan aldı ve kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya yol açabiliyor.

• CVE-2026-109618: Bellek yetersizliği (OOM) durumunda oluşan bellek bozulması.

• CVE-2026-109619: Bir istek bittikten sonra eski durum bilgisinin kullanılması (stale global state).

PHP projesi 20 Ekim'de güvenlik sürümünü duyurdu, düzeltmeleri 21 Ekim 2026'da yayımladı. CERT-EU, teknik ayrıntıların kamuya açık tartışıldığını ve örnek kodların dolaşmaya başladığını, bunun açığın suiistimal edilme olasılığını artırdığını belirtiyor. Bu nedenle öneri nettir: güncelleyin.

Hangi PHP sürümleri etkileniyor?

PHP ekibi ayrıca PHP 7.4, 8.0 ve 8.1 için kaynak koddan derleyenlere yönelik asgari düzeltme yamaları yayımladı. Bunlar, desteklenen bir sürüme geçişin yerine değil, geçişe kadar bir köprü olarak düşünülmelidir.

Kaynaklar: CERT-EU güvenlik bülteni 2026-018, PHP Vakfı duyurusu, AA haberi (Milliyet).

Web siteniz PHP açığından etkilendi mi? Nasıl kontrol edilir?

Bu kontrolü BT ekibiniz ya da hosting sağlayıcınızla birlikte yapın. Sıra şöyle:

• PHP sürümünü öğrenin. Hosting panelinizde PHP sürüm ayarına bakın ya da sunucuda php -v komutunu çalıştırın. Komut satırındaki PHP ile web sunucusunun kullandığı PHP farklı sürümler olabilir; web tarafındaki sürümü kontrol ettiğinizden emin olun. Sürüm bilgisini gösteren bir phpinfo sayfası kullanıyorsanız işiniz bitince kaldırın.

• Sürümü yukarıdaki tabloyla karşılaştırın. Listedeki yama sürümlerinden eskiyse güncelleme gereklidir.

• Hosting sağlayıcınıza sorun. Paylaşımlı ya da yönetilen hosting kullanıyorsanız yamanın uygulanıp uygulanmadığını ve ne zaman uygulanacağını yazılı olarak isteyin.

• Desteklenmeyen sürümleri belirleyin. PHP 8.1 ve eski sürümler PHP projesinden güncelleme almaz. Dağıtımınızın ya da LTS sağlayıcınızın yamayı sunup sunmadığını sorun, yoksa desteklenen bir sürüme geçiş planlayın.

• PHP gömen üçüncü taraf yazılımları unutmayın. CERT-EU, PHP'yi arka planda kullanan ticari ve açık kaynaklı ürünlerin de etkilenebileceğini belirtiyor ve bunları belirlemek için NCSC-NL'nin GitHub deposuna (NCSC-NL/php2shell) bakılmasını öneriyor.

• Paket kaynağınızı kontrol edin. Remi deposunu (rpms.remirepo.net) kullanıyorsanız düzeltme yayın gününde orada bulunmuyordu; PHP ekibi dağıtım paketlerine ya da kaynaktan derlemeye geçilmesini öneriyor.

• Genel güvenlik hijyenine bakın. Beklenmedik dosya değişiklikleri, olağandışı yükleme istekleri ya da yeni yönetici hesapları gibi izler için günlükleri gözden geçirin. Bu adım bu açığa özgü bir saldırı izi listesi değil, genel iyi uygulamadır.

WordPress kullanıyorsanız çekirdek, tema ve eklentilerin de güncel olduğunu aynı seferde doğrulayın. Bu, PHP açığının bir sonucu değil, "sitemiz güvende mi" sorusunun her zaman ilk kontrolüdür.

PHP güncellemesi hemen yapılamıyorsa ne yapmalısınız?

CERT-EU, yamayı hemen uygulayamayan kurumlara, düzeltme uygulanıp doğrulanana kadar internete açık uygulamaları kamusal ağlardan yalıtmalarını öneriyor. Bu, bir bakım penceresine kadar geçici bir önlem olarak değerlendirilmelidir.

PHP ekibi bazı yapılandırma önlemleri de yayımladı; örneğin istek boyutu sınırlarını düşürmek, session.upload_progress.enabled ayarını kapatmak ve PHP 8.5'te fatal_error_backtraces ayarını kapatmak gibi. Ancak CERT-EU'nun altını çizdiği gibi bu önlemler belirli saldırı yollarını daraltır, kurulumu güvenli hale getirmez; yalnızca güncelleme açığı tam olarak kapatır. Bu ayarları uygulamak BT ekibinizin işidir ve ayrıntıları CERT-EU bülteninde yer alır.

Güncellemeden sonra ne yapmalısınız?

Yama, acil kısmı çözer. Sonrasında üç şeyi düzene bağlamak, bir sonraki bültende aynı telaşı yaşamanızı önler:

• Sürüm envanteri: Hangi sitenin hangi PHP ve CMS sürümünde çalıştığını tek bir listede tutun.

• Güncelleme sorumlusu ve süresi: Kritik güvenlik güncellemesi için kimin, ne kadar sürede harekete geçeceğini yazın.

• Yedekleme ve geri dönüş testi: Yedeğin alınması yetmez, geri dönülebildiği test edilmelidir.

Kişisel veriyi etkileyen bir ihlalden şüphelenirseniz KVKK kapsamındaki bildirim yükümlülükleri için hukuk müşavirinize danışın. Ajans ve altyapı sağlayıcısı seçerken bakım ve güvenlik sorularını nasıl sorabileceğinizi Web Tasarım Ajansı Nasıl Seçilir? yazımızda bulabilirsiniz.

Sık sorulan sorular

PHP güvenlik açığı nedir?

PHP'nin çekirdeğinde bulunan iki kritik açık, CVE-2026-109618 ve CVE-2026-109619, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya yol açabiliyor. Birlikte PHP2Shell olarak anılıyorlar ve 21 Ekim 2026'da yayımlanan PHP sürümleriyle düzeltildiler.

Web sitem PHP açığından etkilendi mi, nasıl anlarım?

PHP sürümünüzü öğrenin ve 8.5.12, 8.4.27, 8.3.36 ya da 8.2.35 ile karşılaştırın. Sürümünüz bunlardan eskiyse etkileniyorsunuzdur. Emin değilseniz hosting sağlayıcınıza ya da BT ekibinize sorun.

WordPress siteleri bu açıktan etkilenir mi?

Açık PHP'nin kendisindedir. WordPress PHP üzerinde çalıştığı için, sunucudaki PHP sürümü güncellenene kadar WordPress siteleri de bu durumdan etkilenebilir. Çözüm PHP'yi güncellemektir.

PHP'yi hemen güncelleyemiyorsam ne yapmalıyım?

CERT-EU, düzeltme uygulanıp doğrulanana kadar internete açık uygulamaların kamusal ağlardan yalıtılmasını öneriyor. Geçici yapılandırma önlemleri bazı saldırı yollarını daraltır ama kurulumu güvenli yapmaz; tam çözüm güncellemedir.

Clockwork bu konuda nasıl yardımcı olur?

Clockwork, İstanbul merkezli, 25 yıllık bağımsız bir dijital ve kreatif ajanstır; ISO 27001 ve ISO 12207 sertifikalıdır. Web sitesi tasarımı ve geliştirmesi yapıyoruz. Mevcut sitenizi yenilemek ya da altyapısını değiştirmek isterseniz ihtiyacınıza uygun yapıyı birlikte belirleyebiliriz.

PHP açığından sonra web sitenizi yenilemek istiyorsanız

Yama, bugünkü riski çözer. Siteniz eski bir PHP sürümüne, bakımı yapılmayan eklentilere ya da desteği biten bir altyapıya dayanıyorsa, bu güncellemeyi bir yenileme kararına dönüştürmek mantıklı olabilir. Sıralama önemli: önce güncelleme, sonra plan. Acele bir taşıma yerine, SEO değerini koruyan ve gereksinimlerinize göre seçilmiş bir altyapı üzerinde planlı bir yenileme daha sağlıklıdır.

Clockwork olarak kurumsal web sitelerini tasarlıyor ve geliştiriyoruz; ISO 27001 ve ISO 12207 sertifikalı süreçlerle çalışıyoruz. Sitenizin güvenlik gereksinimlerini, altyapı seçimini ve taşıma planını sizinle birlikte değerlendirebiliriz.

Sitenizi güvenlik gereksinimlerinize uygun bir altyapıyla yenilemek ister misiniz? Web sitesi tasarım ve geliştirme hizmetimizi inceleyin ya da bizimle iletişime geçin.

Sonuç

PHP açığı için bugün atılacak adım basit: sürümünüzü öğrenin, gerekiyorsa güncelleyin, güncelleyemiyorsanız yalıtın. Daha derin sorular, yani sürüm envanteri, bakım sorumluluğu ve altyapı seçimi, yama sonrası sakin kafayla ele alınacak konulardır.

Sitenizin PHP sürümünü ve bakım düzenini birlikte gözden geçirmek isterseniz bizimle iletişime geçin. Web sitenizi yenilemeyi düşünüyorsanız yukarıdaki bölüme de göz atın.