Yayın tarihi: 26 Ekim 2026
Kategori: Siber Güvenlik, Web Yazılım, Sunucu Güvenliği
Tahmini okuma süresi: 7 dakika
İnternette milyonlarca web sitesini ilgilendiren kritik bir güvenlik gelişmesi yaşandı. PHP programlama dilinde tespit edilen ve kamuoyunda PHP2Shell olarak adlandırılan iki güvenlik açığı, saldırganların savunmasız sunucularda uzaktan kod çalıştırmasına olanak tanıyabiliyor.
CVE-2026-109618 ve CVE-2026-109619 numaralarıyla takip edilen bu açıklar için PHP ekibi 21 Ekim 2026 tarihinde güvenlik güncellemelerini yayımladı. Her iki açığın CVSS v4.0 önem derecesi 9,2/10 olarak açıklandı.
Peki bu güvenlik açıkları hangi web sitelerini etkiliyor? WordPress siteleri risk altında mı? Hosting sunucunuzun güvenli olduğunu nasıl kontrol edebilirsiniz?
FTC Yazılım olarak PHP2Shell güvenlik açığının teknik detaylarını, risklerini ve alınması gereken önlemleri açıklıyoruz.
PHP2Shell Güvenlik Açığı Nedir?
PHP2Shell, PHP'nin çalışma ortamında tespit edilen iki kritik güvenlik açığını ifade eden isimdir. Bu açıklar, belirli koşullarda saldırganların özel olarak hazırlanmış isteklerle sunucuda yetkisiz kod çalıştırmasına neden olabilir.
Bu durum, yalnızca bir web sayfasının görüntülenmemesi gibi basit bir sorundan çok daha ciddi sonuçlar doğurabilir. Sunucunun yapılandırmasına, PHP sürecinin yetkilerine ve uygulamanın güvenlik önlemlerine bağlı olarak dosyalara erişim, veri sızıntısı, web sitesinin değiştirilmesi veya sunucu üzerinde kalıcı erişim elde edilmesi gibi riskler ortaya çıkabilir.
PHP2Shell kapsamında iki ayrı güvenlik açığı bulunmaktadır:
- CVE-2026-109618: Bellek yetersizliği (Out of Memory - OOM) işleme sürecindeki bir hatayla ilişkilidir.
- CVE-2026-109619: İstekler arasında beklenmedik şekilde kalan dahili durum bilgilerinin yeniden kullanılabilmesiyle ilişkilidir.
Her iki açık da PHP'nin kendi çalışma ortamını ilgilendirdiği için risk yalnızca belirli bir web sitesi yazılımıyla sınırlı değildir.
CVE-2026-109618 ve CVE-2026-109619 Arasındaki Fark Nedir?
CVE-2026-109618: Bellek Yönetimi Kaynaklı Güvenlik Açığı
Bu açık, PHP'nin bellek yetersizliği yaşadığı durumlarda dahili istek verilerini güvenli biçimde işleyememesiyle ilgilidir.
Bellek tahsisi başarısız olduğunda bazı dahili veriler henüz tam olarak oluşturulmamış olabilir. Ancak temizleme işlemleri bu verileri geçerli kabul ederse hatalı bellek işlemleri meydana gelebilir.
Uygun koşullarda bu durum, saldırganın uzaktan kod çalıştırmasına kadar ilerleyebilir.
CVE-2026-109619: İstekler Arasında Kalan Dahili Durum Bilgileri
İkinci açık, bir isteğe ait bazı dahili durum bilgilerinin bellekte geçersiz hâle gelmesine rağmen sonraki işlemlerde kullanılabilmesiyle ilişkilidir.
Özellikle aynı PHP çalışanının (worker) birden fazla isteği işlediği ortamlarda bu durum güvenlik riski oluşturabilir.
Açığın belirli kullanım yollarında oturum yükleme ilerleme mekanizmasıyla ilişkili olduğu bildirilmiştir. Ancak bu mekanizmayı kapatmak, tek başına tüm güvenlik açıklarının giderildiği anlamına gelmez.
Her iki açığın ortak noktası, PHP'nin kendisindeki hatalardan yararlanarak uygulama kodu çalışmadan önce bile risk oluşturabilmeleridir.
PHP2Shell Hangi PHP Sürümlerini Etkiliyor?
PHP ekibinin 21 Ekim 2026 tarihli duyurusunda aşağıdaki güvenlik güncellemeleri yayımlandı:
| PHP Dalı | Güvenli Sürüm |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Bu sürümlerin altındaki ilgili sürümler için güvenlik durumu kontrol edilmelidir. Yalnızca sürüm numarasına bakmak da her zaman yeterli değildir; işletim sistemi veya dağıtım sağlayıcısı tarafından geriye taşınmış güvenlik yamaları uygulanmış olabilir.
PHP 8.1 ve daha eski sürümleri kullanan sistemlerde resmî destek durumu ayrıca değerlendirilmelidir. Bu sürümlerde güvenlik düzeltmesinin bulunup bulunmadığı, kullanılan dağıtıma ve sağlayıcının sunduğu güncellemelere göre değişebilir.
Önemli: PHP 8.2.35 güvenlik düzeltmesini içerse de PHP 8.2 dalının desteği 31 Aralık 2026 tarihinde sona erecektir. Bu nedenle uzun vadede desteklenen bir PHP sürümüne geçiş planlanmalıdır.
Güncel sürüm bilgileri için resmî PHP güvenlik duyurusunu inceleyebilirsiniz.
WordPress Siteleri PHP2Shell Saldırısından Etkileniyor mu?
Evet, kullanılan PHP çalışma ortamı savunmasızsa WordPress siteleri de risk altında olabilir.
WordPress, PHP ile çalışan bir içerik yönetim sistemidir. Bununla birlikte risk yalnızca WordPress'e özgü değildir. PHP kullanan diğer içerik yönetim sistemleri, e-ticaret yazılımları ve özel web uygulamaları da kullanılan PHP sürümüne ve sunucu yapılandırmasına bağlı olarak etkilenebilir.
Burada önemli bir ayrım bulunuyor: WordPress çekirdeğini, tema ve eklentileri güncellemek elbette gereklidir; ancak PHP çalışma ortamındaki bir güvenlik açığı yalnızca WordPress'i güncelleyerek giderilemez.
Yapılması gerekenler şunlardır:
- Sunucuda kullanılan PHP sürümünü kontrol etmek.
- Hosting panelinde seçili olan PHP sürümünün güvenli sürüm olduğunu doğrulamak.
- PHP güncellemesini uygulamak ve gerekli PHP çalışanlarını yeniden başlatmak.
- WordPress çekirdeğini, temaları ve eklentileri güncel tutmak.
- Web sitesi dosyalarını, kullanıcı hesaplarını ve sunucu günlüklerini şüpheli etkinliklere karşı incelemek.
Bir web sitesinin ana sayfasının normal açılması, sunucunun güvenli olduğu anlamına gelmez.
Plesk Panel Kullanan Hosting Sunucularında Ne Yapılmalı?
Plesk üzerinden çok sayıda web sitesi yöneten işletmelerin, tüm abonelikleri ve alan adlarını kapsayan bir kontrol gerçekleştirmesi önemlidir.
Bir sunucuda farklı siteler farklı PHP sürümleri kullanabilir. Bu nedenle yalnızca sunucunun varsayılan PHP sürümünü güncellemek, barındırılan bütün sitelerin düzeltildiğini garanti etmez.
- PHP envanteri çıkarılmalı: Sunucudaki tüm alan adları, alt alan adları ve PHP sürümü kullanan uygulamalar belirlenmelidir.
- Sürüm bazında kontrol yapılmalı: Her sitenin hangi PHP sürümünü kullandığı ve güvenlik düzeltmesinin uygulanıp uygulanmadığı doğrulanmalıdır.
- Güncelleme uygulanmalı: Plesk'in sunduğu güncel PHP paketleri veya sağlayıcının desteklediği güvenli sürümler kullanılmalıdır.
- PHP çalışanları yeniden başlatılmalı: Güncellemenin çalışan süreçlere de yansıdığı doğrulanmalıdır.
- Siteler test edilmeli: Özellikle e-ticaret, ödeme, dosya yükleme, oturum açma ve yönetim paneli işlevleri kontrol edilmelidir.
- Şüpheli etkinlikler araştırılmalı: Olağan dışı dosyalar, beklenmeyen süreçler, yeni kullanıcı hesapları ve şüpheli dış bağlantılar incelenmelidir.
Güncelleme hemen yapılamıyorsa riskli sistemler için geçici izolasyon ve erişim kısıtlamaları değerlendirilmelidir. Ancak bunlar PHP ekibinin belirttiği güncellemenin yerini tutan kesin çözümler değildir.
PHP2Shell Saldırısına Karşı Alınması Gereken Güvenlik Önlemleri
PHP sürümünü güncellemek ilk ve en önemli adımdır. Bunun yanında sunucu güvenliğini güçlendirmek için aşağıdaki önlemler de uygulanmalıdır.
PHP Sürümünü Güncel Tutun
Desteklenen ve güvenlik yamaları yayımlanan PHP sürümlerini kullanın. Eski bir sürüme bağımlı uygulamalar varsa uyumluluk testleri yaparak geçiş planı oluşturun.
Dosya Yükleme ve İstek Sınırlarını Kontrol Edin
Gereksiz derecede büyük dosya yüklemelerini ve aşırı istek boyutlarını sınırlayın. Web sunucusu ve PHP yapılandırmasında uygulamanın ihtiyacına uygun sınırlar belirleyin.
Bu kontroller saldırı yüzeyini daraltabilir; ancak güvenlik güncellemesinin yerine geçmez.
PHP Süreçlerini ve Dosya İzinlerini Sınırlandırın
Web uygulamalarının yalnızca ihtiyaç duyduğu dosya ve kaynaklara erişebilmesini sağlayın. Birden fazla müşterinin aynı sunucuda barındırıldığı ortamlarda hesap izolasyonunu ve süreç yetkilerini düzenli olarak gözden geçirin.
Yedekleme ve Olay Müdahale Planı Oluşturun
Düzenli, mümkünse sunucudan bağımsız ve geri yükleme testi yapılmış yedekler bulundurun. Bir güvenlik ihlali şüphesinde yedekleri doğrudan üretim ortamına geri yüklemek yerine olayın kapsamını belirleyin ve temiz bir geri dönüş planı uygulayın.
Günlükleri ve Sunucu Davranışlarını İzleyin
Web sunucusu günlüklerini, PHP hata kayıtlarını, dosya değişikliklerini ve olağan dışı süreçleri inceleyin. Güvenlik duvarı veya WAF kullanılması yararlı olabilir; ancak bu sistemler tek başına PHP2Shell açığını ortadan kaldırmaz.
PHP2Shell Açığı Web Sitenizin Ele Geçirilmesine Neden Olabilir mi?
Savunmasız bir PHP çalışma ortamında saldırı başarılı olursa, web sitesinin ve sunucunun güvenliği ciddi biçimde tehlikeye girebilir.
Olası sonuçlar arasında şunlar yer alır:
- Web sitesi dosyalarının izinsiz değiştirilmesi.
- Veritabanı bağlantı bilgilerinin veya diğer hassas verilerin ele geçirilmesi.
- Zararlı dosyalar ya da arka kapılar yerleştirilmesi.
- Web sitesinin hizmet dışı kalması.
- Sunucunun başka sistemlere yönelik saldırılarda kötüye kullanılması.
- Müşteri bilgilerinin gizliliğinin ve işletmenin itibarının zarar görmesi.
Bununla birlikte her savunmasız sunucunun saldırıya uğradığını söylemek doğru değildir. Gerçek risk, PHP sürümü, sunucu yapılandırması, uygulama yetkileri ve saldırının başarıyla gerçekleştirilip gerçekleştirilmediği gibi etkenlere bağlıdır.
Bir güncelleme öncesinde veya sonrasında saldırı şüphesi varsa yalnızca PHP sürümünü yükseltmekle yetinilmemeli; sunucunun bütünlüğü ayrıca değerlendirilmelidir.
Web Sitenizin Güvenliğini Nasıl Kontrol Edebilirsiniz?
Web sitenizin PHP kullanıp kullanmadığını bilmiyorsanız hosting sağlayıcınızdan bilgi alabilirsiniz. PHP kullanan bir web siteniz varsa aşağıdaki kontrol listesini uygulayın:
- Kullanılan PHP sürümünü doğrulayın.
- Sürümün PHP2Shell güvenlik düzeltmesini içerdiğini teyit edin.
- PHP çalışanlarının güncelleme sonrasında yeniden başlatıldığını doğrulayın.
- Web sitesi dosyalarını ve sunucu günlüklerini kontrol edin.
- Güncel yedeklerinizin bulunduğunu ve geri yüklenebilir olduğunu doğrulayın.
- Destek dışı PHP sürümleri için yükseltme planı oluşturun.
Bu maddelerin herhangi birinden emin değilseniz hosting firmanızdan veya sistem yöneticinizden teknik doğrulama isteyin.
Sonuç: PHP2Shell İçin Güncelleme Ertelenmemeli
CVE-2026-109618 ve CVE-2026-109619, web uygulamalarının dayandığı PHP çalışma ortamının güvenliğinin ne kadar önemli olduğunu bir kez daha ortaya koyuyor.
PHP ekibi tarafından yayımlanan güvenlik sürümlerine geçiş yapılması, barındırılan tüm sitelerin kontrol edilmesi ve şüpheli etkinliklerin araştırılması gerekiyor. Özellikle çok sayıda web sitesi yöneten işletmelerin, her alan adını ayrı ayrı değerlendirmesi önem taşıyor.
FTC Yazılım olarak web sitesi ve sunucu güvenliğinin yalnızca tasarım veya uygulama kodundan ibaret olmadığını vurguluyoruz. Güncel yazılım, doğru sunucu yapılandırması, düzenli bakım ve güvenlik takibi birlikte ele alınmalıdır.
Web sitenizin PHP sürümü, hosting yapılandırması veya sunucu güvenliği hakkında desteğe ihtiyaç duyuyorsanız FTC Yazılım ile iletişime geçerek teknik değerlendirme ve bakım hizmetleri hakkında bilgi alabilirsiniz.
Resmî Kaynak
PHP Güvenlik Duyurusu - Ekim 2026
Sık Sorulan Sorular
PHP2Shell, PHP çalışma ortamında tespit edilen CVE-2026-109618 ve CVE-2026-109619 numaralı iki güvenlik açığını ifade eder. Belirli koşullarda saldırganların savunmasız sistemlerde uzaktan kod çalıştırmasına neden olabilen bu açıklar için PHP ekibi güvenlik güncellemeleri yayımlamıştır.
PHP2Shell güvenlik açıkları için PHP 8.5, 8.4, 8.3 ve 8.2 dallarında sırasıyla 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri duyurulmuştur. Sunucunuzda kullanılan sürümü kontrol etmeli ve resmî PHP güvenlik duyurusundan güncel bilgileri doğrulamalısınız.
Evet. WordPress siteleri savunmasız bir PHP çalışma ortamı kullanıyorsa risk altında olabilir. WordPress çekirdeğini ve eklentileri güncellemek önemlidir ancak PHP sürümündeki güvenlik açığını gidermek için sunucudaki PHP çalışma ortamının da güncellenmesi gerekir.
Plesk panelde barındırılan sitelerin kullandığı PHP sürümleri kontrol edilmeli, güvenlik düzeltmelerini içeren sürümlere geçilmeli ve güncellemenin etkin olduğu doğrulanmalıdır. Çok sayıda alan adı barındıran sunucularda her abonelik ve alan adı ayrı ayrı incelenmelidir.
Evet. Savunmasız sistemlerde ve gerekli koşullar oluştuğunda bu açıklar uzaktan kod çalıştırma riski oluşturabilir. Olası etkiler sunucu yapılandırmasına ve PHP sürecinin yetkilerine bağlıdır. Güvenlik güncellemesinin uygulanması ve şüpheli etkinliklerin incelenmesi önemlidir.
Öncelikle PHP sürümü kontrol edilmeli ve ilgili güvenlik güncellemesi uygulanmalıdır. Bunun yanında sunucu günlükleri incelenmeli, dosya izinleri sınırlandırılmalı, yedekler doğrulanmalı ve şüpheli dosya ya da süreçler araştırılmalıdır. Güvenlik duvarı ve WAF gibi önlemler ek koruma sağlayabilir ancak güncellemenin yerini tutmaz.
Güvenlik açığıyla ilgili resmî açıklamaları ve PHP sürüm bilgilerini PHP'nin duyuru sayfasından takip edebilirsiniz: PHP güvenlik duyurusu.
Güncelleme Tarihi: 26.10.2026
