PHP2Shell: PHP'de İki Kritik Açık (CVE-2026-109618, CVE-2026-109619) Nedir? Sitenizi ve Sunucunuzu Nasıl Korursunuz? (2026)

Kısa cevap: 21 Ekim 2026'da PHP projesi, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya yol açabilen iki kritik açık için güvenlik güncellemesi yayımladı: CVE-2026-109618 ve CVE-2026-109619 (birlikte "PHP2Shell" olarak anılıyor, CVSS 9,2). Düzeltilmiş sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Kendi sunucunuzu yönetiyorsanız PHP'yi hemen güncelleyin ve PHP'yi yeniden başlatın. Hosting kullanıyorsanız barındırma firmanızın yamaları uyguladığını doğrulayın ve sitenizin güncel, desteklenen bir PHP sürümünde çalıştığından emin olun.

Öne Çıkanlar

  • İki açık da PHP çekirdeğinde (bellek yönetimi hataları), yani WordPress, Drupal ya da Joomla gibi bir uygulamanın değil PHP'nin kendisinde.
  • Açıklar kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya yol açabiliyor; Apache mod_php ve PHP-FPM ile çalışan kurulumlar etkileniyor.
  • Düzeltilmiş sürümler: 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. PHP 8.1 ve daha eski sürümler için PHP projesi resmî bir düzeltme yayımlamadı; bazı dağıtımlar ve sağlayıcılar yamayı kendi paketlerine uyguladı.
  • Önemli ayrıntı: Dağıtım ve hosting paketlerinde yama, sürüm numarası değişmeden gelebilir (ör. 8.1.34 olarak kalır). Bu yüzden php -v çıktısı tek başına yeterli değildir; paket değişiklik günlüğünde CVE numarasına bakın.
  • Yamayı yükledikten sonra PHP süreçlerini yeniden başlatmak gerekir; çalışan eski süreç, bellekte eski kodla çalışmaya devam edebilir.
  • Kaynaklara göre bu açıkları tetiklemek için sunucuya özgü koşullar gerekebiliyor, ancak saldırı girişimleri bildirildi. Beklemek yerine yamayı uygulamak doğru karar.

Ne Oldu?

PHP projesi, iki kritik açığı kapatan güvenlik sürümlerini 21 Ekim 2026'da yayımladı. Güvenlik araştırmacılarına göre ilk açık (CVE-2026-109618), PHP'nin yükleme ilerlemesi verisini işleyen kodundaki bellek hatasıyla ilgili; ikincisi (CVE-2026-109619) ise ölümcül hata durumunda oluşan iz kaydı kodundaki bellek hatası ve OPcache tür karışıklığıyla ilgili. Her ikisi de belirli koşullarda saldırganın sunucuda kod çalıştırmasına yol açabiliyor. Saldırıların multipart/form-data türündeki isteklerle tetiklendiği ve bir bellek hatasına yol açan durumun (tipik olarak memory_limit aşımı) saldırının zeminini hazırladığı bildirildi.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), açıkların kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya izin verdiğini ve web isteklerine hizmet veren tüm PHP kurulumlarını etkilediğini belirterek derhal yama uygulanmasını istedi. Kurumlar, PHP 8.1 ve daha eski desteklenmeyen sürümleri kullanan sistemleri, güncelleyemiyorlarsa çevrimdışı almaya çağrıldı.

Kimler Etkileniyor?

PHP çalıştıran herkes: WordPress, WooCommerce, Joomla, Drupal ve özel PHP uygulamaları kullanan siteler, kendi sunucusunu yöneten kişiler, PHP içeren yönetim panelleri. Açık PHP'nin kendisinde olduğu için sitenizdeki eklentileri güncel tutmak tek başına yeterli değildir. Paylaşımlı hosting kullanıyorsanız PHP'yi barındırma firması güncelliyor; kendi VDS ya da sunucunuzu yönetiyorsanız sorumluluk size ait.

Hosting Kullanıcıları İçin: Ne Yapmalısınız?

  1. Barındırma firmanıza sorun: PHP2Shell yamalarının uygulandığını ve PHP süreçlerinin yenilendiğini teyit edin.
  2. Güncel bir PHP sürümü seçin: cPanel'deki PHP sürüm seçicisinden sitenizi desteklenen güncel bir sürüme (ör. 8.3 ya da 8.4) taşıyın. PHP 8.1 ve eskisi artık resmî olarak düzeltme almıyor; eski sürümde çalışan siteler en riskli gruptur. Sürüm değiştirmeden önce sitenizin yedeğini alın ve eklentilerin uyumlu olduğunu kontrol edin.
  3. WordPress'inizi güncelleyin: Çekirdek, tema ve eklentileri güncelleyin; kullanmadığınız eklentileri kaldırın.
  4. Yedek alın: Düzenli ve sunucu dışında bir yedeğiniz olsun.

Güncel PHP sürümleri ve LiteSpeed altyapısıyla çalışan cPanel hosting ve WordPress hosting paketlerimizde PHP sürümünü kendiniz seçebilir, güvenlik güncellemelerini sunucu tarafında bizim yönetmemize bırakabilirsiniz.

VDS ve Sunucu Sahipleri İçin: Adım Adım

  1. Envanter çıkarın: Sunucunuzda hangi PHP sürümlerinin kurulu olduğunu bulun. Birden fazla sürüm (ör. paneliniz için ayrı bir PHP) bulunabilir; hepsini kontrol edin.
  2. Paketleri güncelleyin: Debian/Ubuntu tabanlı sistemlerde apt update ve apt upgrade, RHEL/AlmaLinux tabanlı sistemlerde dnf upgrade komutuyla PHP paketlerini güncelleyin. Yamalar dağıtımınızın deposuna düştüğünde gelir; depo güncelleme yayımlamadıysa üreticinin duyurusunu takip edin.
  3. PHP'yi yeniden başlatın: Apache ile mod_php kullanıyorsanız Apache'yi, PHP-FPM kullanıyorsanız ilgili PHP-FPM servisini yeniden başlatın. Aksi hâlde eski kodla çalışan süreçler yamasız kalabilir.
  4. Yamanın geldiğini doğrulayın: Yama çoğu zaman sürüm numarasını değiştirmeden gelir. RHEL ailesinde rpm -q --changelog php-common | grep CVE-2026-109618 komutuyla paket değişiklik günlüğünde CVE numarasını arayın. Debian ve Ubuntu'da da paketin değişiklik günlüğünde aynı CVE numarasını arayabilirsiniz.
  5. Desteklenmeyen sürümleri terk edin: PHP 8.1 ve daha eski sürümlerde çalışan uygulamaları desteklenen bir sürüme taşıyın. Taşıyamıyorsanız, üreticisi yamayı kendi paketine uygulamış bir dağıtım ya da ücretli uzun süreli destek kullanın; aksi hâlde sistemi internete açık bırakmayın.
  6. Erişimi kısıtlayın: Yönetim panellerini ve SSH'ı yalnızca güvenilir adreslere açın. Ayrıntılar için Sanal Sunucu Güvenliği: 10 Kritik Adım yazımıza bakın.

Hemen Güncelleyemiyorsanız: Geçici Önlemler

Yama en doğru çözümdür; geçici önlemler tam koruma sağlamaz. Güvenlik araştırmacılarının önerdiği geçici adımlar şunlar:

  • Web uygulaması güvenlik duvarı (WAF) kullanmak, CISA'nın da önerdiği ara önlemlerden biridir.
  • PHP ayarları: session.upload_progress.enabled ayarını kapatmak. Bu ayar dosya yükleme ilerlemesiyle ilgili kod yolunu kapatır. PHP-FPM kendi havuz ayarlarını okuduğundan ayarı her havuzda ayrı ayrı uygulamanız gerekir.
  • multipart/form-data isteklerini engellemek: Bu, bilinen tetikleyicilerin hepsini keser ama dosya yüklemeyi ve bazı formları da bozar. Yalnızca geçici ve kısmi bir önlemdir; uygulamayı mutlaka test edin.

Bu adımlar yamanın yerini tutmaz. Güncelleme yapabildiğiniz an kaldırın ve gerçek çözüme geçin.

Saldırı Belirtileri

CISA, şu belirtilere dikkat edilmesini öneriyor: PHP süreçlerinin kabuk (shell) başlatması, sunucudan dışarıya garip bağlantılar ya da sunucuda araç indirilmesi. Ayrıca web sitenizde tanımadığınız dosyalar, beklenmedik yönetici hesapları, aniden artan sunucu yükü ve sitenizde bilmediğiniz yönlendirmeler şüphe uyandırmalı. Şüphe ediyorsanız sunucuyu bilinen temiz bir yedekten geri yüklemeyi ve tüm parolaları ve anahtarları yenilemeyi düşünün. Yedekleme düzeniniz için Web Sitesi Yedekleme Nasıl Yapılır? yazımıza göz atın.

TuemCloud Altyapısında Durum

Hosting sunucularımızda cPanel ve CloudLinux'un bu açıklar için yayımladığı yamalı PHP paketleri 22 Ekim'de yüklendi. Hosting hesabınızın hangi PHP sürümünü kullandığını cPanel'den görebilir, güncel ve desteklenen bir sürüme geçebilirsiniz. Sorunuz varsa destek ekibimiz yardımcı olur.

Sıkça Sorulan Sorular

Sitem WordPress ise güvenli miyim? Açık WordPress'te değil PHP'nin kendisinde. WordPress'i güncel tutmak önemli ama tek başına yeterli değil; PHP'nin yamalı olması gerekir.

PHP sürüm numaram 8.3.36'dan düşük, yamasız mıyım? Her zaman değil. Dağıtım ve hosting sağlayıcıları yamayı sürüm numarasını değiştirmeden paketine uygulayabilir. Paket değişiklik günlüğünde CVE-2026-109618 ve CVE-2026-109619 numaralarını arayın.

PHP 8.1 kullanıyorum, ne yapmalıyım? PHP projesi 8.1 ve eskisi için resmî düzeltme yayımlamadı. Desteklenen bir sürüme (8.3 ya da 8.4) geçmenizi öneririz. Geçişten önce sitenizin yedeğini alın ve uygulamanızın uyumluluğunu kontrol edin.

Siteme saldırılmış olabilir mi? Bazı kaynaklar açıklardan yararlanma girişimleri bildirdi. Sitenizde tanımadığınız dosyalar, kullanıcılar ya da yönlendirmeler görüyorsanız destek ekibimizle iletişime geçin.

Sonuç ve Sunucu Seçimi

PHP2Shell, PHP'nin güncel tutulmasının ne kadar önemli olduğunu bir kez daha gösterdi. Güvenlik yamalarını sunucu tarafında yönetmek istemiyorsanız yönetilen cPanel hosting iyi bir seçimdir; kendi ortamınızı kurmak istiyorsanız Linux sunucu ve VDS seçeneklerimizi inceleyebilirsiniz.

TuemCloud Sunucu Seçenekleri

İlgili Rehberler