PHP Kritik Güvenlik Açığı (PHP2Shell): Siteniz Risk Altında mı?

Kısaca: Ne oluyor?

PHP güvenlik ekibi, 21 Ekim 2026 saat 14:00 UTC’de acil bir güvenlik sürümü yayınlıyor. Bu saat, Türkiye saatiyle 17:00’ye denk geliyor.

Sürüm iki kritik açığı kapatıyor. Açıklar CVE-2026-109618 ve CVE-2026-109619 olarak kayıtlı. İkisi de CVSSv4 ölçeğinde 9.2 puan aldı.

Avrupa Birliği siber güvenlik ekibi CERT-EU, açıkların uzaktan kod çalıştırmaya (RCE) yol açabileceğini belirtiyor. Bu, saldırganın sunucunuzda kendi kodunu çalıştırabilmesi demek.

Hangi siteler etkileniyor?

Teknik detaylar henüz resmî olarak paylaşılmadı. Ancak ilk bulgular geniş bir etki alanına işaret ediyor.

• CERT-EU’ya göre açıklar PHP 5 ve sonrasındaki tüm sürümleri etkileyebilir.
• Güvenlik firması Sansec, PHP 5.4 ve üzerini çalıştıran tüm sunucuların etkilendiğini söylüyor.
• WordPress, WooCommerce, Magento ve Shopware siteleri de bu kapsamda.

Önemli bir ayrıntı var: PHP yalnızca 8.2 ve üzeri sürümleri resmî olarak destekliyor. PHP 8.1 ve daha eski sürümler resmî yama almayacak.

Eski PHP sürümü kullanıyorsanız durum ne?

Eski sürümdeki siteler en büyük risk grubunda. Bu siteler için resmî bir düzeltme yayınlanmayacak.

Bu durumda iki seçeneğiniz var. Ya desteklenen bir PHP sürümüne geçeceksiniz ya da barındırma firmanızdan özel yama isteyeceksiniz.

2020 öncesi kurulmuş ve hiç güncellenmemiş siteler özellikle dikkat etmeli. Bu sitelerin çoğu PHP 7.x veya daha eski sürümlerde çalışıyor.

Saldırılar başladı mı?

Evet, ilk işaretler var. Sansec’e göre Cloudflare, 21 Ekim sabahı PHP sitelerine yönelik erken saldırılar tespit etti.

Sansec, yamanın yayınlanmasından sonraki 15 dakika içinde toplu saldırılar bekliyor. Hollanda’da bazı kurumlar önlem olarak sitelerini geçici olarak kapattı.

Yamadan önce neler yapabilirsiniz?

Kalıcı çözüm tek: PHP’yi güncellemek. Aşağıdaki adımlar yalnızca geçici önlemdir.

1. Barındırma firmanızla hemen iletişime geçin. Firmanızdan 17:00’de güncellemeye hazır olmasını isteyin. Sunucuyu kendiniz yönetmiyorsanız en hızlı yol budur.

2. Siteyi Cloudflare arkasına alın. Cloudflare, bilinen saldırılara karşı ücretsiz plan dahil tüm müşterileri için kural yayınladı. Ancak sunucunuz yalnızca Cloudflare IP’lerinden gelen bağlantıları kabul etmeli.

3. Dosya yükleme isteklerini geçici olarak engelleyin. Sansec, web sunucusunda multipart/form-data isteklerinin engellenmesini öneriyor. Bu ayar sitedeki dosya yüklemelerini durdurur. Güncellemeden sonra kaldırmayı unutmayın.

4. Gerekirse siteyi salt okunur yapın veya kapatın. Siteyi bir gün kapatabiliyorsanız, PHP çekirdek geliştiricisi Gina Peter Banyard bunu en mantıklı seçenek olarak görüyor. WordPress’in bakım modu bu konuda yeterli değil.

5. php.ini ayarlarına tek başına güvenmeyin. Sosyal medyada session.upload_progress.enabled = Off ayarı çözüm olarak paylaşılıyor. Banyard’a göre tek gerçek önlem yamadır. Bu ayar yalnızca ek bir katman sağlar.

6. Remi deposu kullanıyorsanız kaynak değiştirin. PHP Foundation, gönüllülerce yürütülen Remi deposunun bugün güncelleme almayacağını duyurdu. Dağıtımınızın resmî paketlerine geçin veya kaynaktan derleyin.

Yama yayınlandıktan sonra ne yapmalı?

• PHP’yi yayınlanan en güncel sürüme yükseltin.
• Sunucu günlüklerinde şüpheli istekleri kontrol edin.
• Geçici olarak eklediğiniz engelleme kurallarını kaldırın.
• Site yedeğinizin güncel ve temiz olduğundan emin olun.
• PHP 8.1 veya altındaysanız, sürüm yükseltme planı yapın.

Sıkça Sorulan Sorular

bw/a olarak nasıl yardımcı olabiliriz?

Sitenizin PHP sürümünü ve risk durumunu birlikte kontrol edebiliriz. Güncelleme, sürüm yükseltme ve geçici önlemler için ekibimizle iletişime geçin.

Kaynaklar: CERT-EU uyarısı, Sansec analizi, PHP desteklenen sürümler