PHP2Shell Güvenlik Açığı: Siteniz Etkileniyor mu, Ne Yapmalısınız?
Özet
PHP2Shell, PHP yorumlayıcısındaki iki kritik açığın (CVE-2026-109618 ve CVE-2026-109619) ortak adıdır. Her ikisi de CVSS 9,2 önem derecesindedir ve belirli koşullarda giriş yapmadan sunucuda kod çalıştırılmasına imkân tanır. PHP projesi 21 Ekim 2026'da yamalı sürümleri yayımladı: 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Web isteklerine yanıt veren tüm PHP kurulumları (PHP-FPM, Apache mod_php, php-cgi, LiteSpeed, FrankenPHP) kapsamdadır; WordPress, WooCommerce, OpenCart ve PrestaShop siteleri PHP ile çalıştığı için etkilenir. Yapılacak iş: PHP sürümünüzü öğrenin, yamalı sürümde değilseniz hosting firmanızdan güncelleme isteyin ya da sunucunuzu güncelleyin. PHP 8.1 ve daha eski sürümler artık resmî güncelleme almaz; bu sürümlerde desteklenen bir sürüme geçiş planlanmalıdır.
PHP2Shell açığına karşı sitenizi kontrol etme
- 1
Altyapıyı belirleyin
Sitenizin WordPress, WooCommerce, OpenCart gibi PHP tabanlı bir altyapıda çalışıp çalışmadığını öğrenin.
- 2
PHP sürümünü öğrenin
WordPress Site Sağlığı ekranından, hosting panelinden veya SSH'ta php -v komutuyla sürümü kontrol edin.
- 3
Yamalı sürümle karşılaştırın
Sürümünüz 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 ya da daha yeniyse açıklar kapatılmıştır.
- 4
Güncelleyin veya güncelleme isteyin
Paylaşımlı hostingde firmanızdan yamalı sürümü isteyin; kendi sunucunuzda paketleri güncelleyip PHP süreçlerini yeniden başlatın.
- 5
Eski sürüm için geçiş planlayın
PHP 8.1 veya daha eskiyi kullanıyorsanız desteklenen bir sürüme geçişi önce bir test kopyasında deneyin.
PHP2Shell Nedir?
PHP2Shell, PHP'nin bellek yönetimindeki iki hatanın adıdır. CVE-2026-109618, bellek yetersizliği durumunda yarım kalan istek verisinin geçerliymiş gibi işlenmesinden; CVE-2026-109619 ise bir istekten kalan iç durumun aynı süreçteki sonraki isteğe taşınmasından kaynaklanır. İkisi de CVSS 9,2 ile değerlendirildi ve uygulama kodu çalışmadan, giriş gerektirmeden tetiklenebiliyor. Bu nedenle sorun sitenizin eklentilerinde ya da temasında değil, sunucudaki PHP sürümündedir; çözüm de PHP güncellemesidir.
Siteniz PHP ile mi Çalışıyor?
Türkiye'deki kurumsal sitelerin ve e-ticaret mağazalarının büyük bölümü PHP tabanlıdır. Aşağıdaki altyapılardan birini kullanıyorsanız siteniz PHP ile çalışır:
- WordPress ve WooCommerce
- OpenCart, PrestaShop, Magento
- Laravel, CodeIgniter, Symfony ile yazılmış özel yazılımlar
- cPanel veya Plesk üzerinde barındırılan hazır site paketlerinin çoğu
PHP Sürümünüzü Nasıl Öğrenirsiniz?
Sürümü öğrenmenin üç kolay yolu var. Not: sunucuda birden fazla PHP sürümü kurulu olabilir; önemli olan sitenizin web isteklerinde kullandığı sürümdür.
- WordPress: Araçlar → Site Sağlığı → Bilgi → Sunucu bölümünde PHP sürümü yazar
- Hosting paneli: cPanel'de "Select PHP Version" veya "MultiPHP Manager", Plesk'te alan adı ayarlarındaki PHP bölümü
- SSH erişiminiz varsa: php -v komutu (komut satırı sürümünün web sürümüyle aynı olduğunu panelden teyit edin)
Hangi Sürümler Güvenli?
PHP projesinin 21 Ekim 2026'da yayımladığı yamalı sürümler aşağıdadır. Sürümünüz bunlardan biri ya da daha yeniyse bu açıklar kapatılmıştır.
- PHP 8.5 → 8.5.12
- PHP 8.4 → 8.4.27
- PHP 8.3 → 8.3.36
- PHP 8.2 → 8.2.35 (bu dal 31 Aralık 2026'da destek dışı kalacak)
Paylaşımlı Hosting Kullanıyorsanız
Paylaşımlı hostingde PHP'yi hosting firması günceller; birçok firma yamaları önceden uyguladı. Yine de emin olmak için destek kanalından şunları sorun:
- Hesabımda kullanılan PHP sürümü CVE-2026-109618 ve CVE-2026-109619 için yamalı mı?
- Eski bir PHP sürümü seçiliyse, yamalı bir sürüme geçmem gerekiyor mu?
- Güncellemeden sonra PHP süreçleri yeniden başlatıldı mı?
Kendi Sunucunuzu Yönetiyorsanız
VPS veya fiziksel sunucuda güncelleme sizin sorumluluğunuzdadır. Linux dağıtımınızın paket deposundaki güncellemeyi kurun ve tüm PHP-FPM / Apache süreçlerini yeniden başlatın. Hemen güncelleyemiyorsanız php.net'in önerdiği geçici önlemler (örneğin session.upload_progress.enabled = 0, istek boyutu sınırları) ve Cloudflare'in yayımladığı WAF kuralları riski azaltır; ancak PHP projesi de bunların kalıcı çözüm olmadığını, tek tam çözümün güncelleme olduğunu belirtiyor.
PHP 8.1 veya Daha Eski Sürüm Kullanıyorsanız
PHP 8.1, 8.0, 7.x ve daha eski sürümler PHP projesinden artık düzenli güncelleme almıyor. Bazı Linux dağıtımları ve uzun süreli destek sağlayıcıları yamaları eski sürümlere taşıyor; kullandığınız sağlayıcıya sorun. Kalıcı yol desteklenen bir sürüme geçmektir. Eski temalar ve eklentiler yeni PHP sürümünde hata verebileceği için geçişi önce bir test kopyasında denemek gerekir. Site zaten eskidiyse bu, altyapıyı yeniden değerlendirmek için de doğru bir zamandır.
WordPress'te kalmak ile modern bir altyapıya geçmek arasındaki farkları karşılaştırdık: Next.js mi WordPress mi?
Sık Sorulan Sorular
WordPress sitem PHP2Shell'den etkilenir mi?
WordPress PHP ile çalıştığı için, sunucudaki PHP sürümü yamalı değilse etkilenebilir. Açık WordPress'te değil PHP'dedir; eklenti güncellemesi yetmez, PHP sürümünün güncellenmesi gerekir.
Next.js veya Node.js ile yapılmış sitem etkilenir mi?
Hayır. PHP2Shell yalnızca PHP yorumlayıcısını etkiler. Ancak aynı sunucuda PHP ile çalışan başka bir uygulama (örneğin bir blog veya yönetim paneli) varsa o uygulama için güncelleme gerekir.
Cloudflare kullanıyorum, güncellemem gerekir mi?
Evet. Cloudflare bilinen saldırı yöntemlerine karşı WAF kuralları yayımladı ve bu kurallar riski azaltır; ancak kalıcı çözüm PHP'nin yamalı sürüme güncellenmesidir.
PHP 7.4 kullanıyorum, ne yapmalıyım?
PHP 7.4 resmî güncelleme almıyor. Hosting firmanıza yamalı bir paket sunup sunmadıklarını sorun ve desteklenen bir PHP sürümüne geçişi planlayın. Eski tema ve eklentiler nedeniyle geçişi önce test ortamında yapın.
Solman Digital
Bu rehber, gerçekleştirilen projelerden derlenen doğrudan deneyime dayanmaktadır. Konuya ilişkin sorularınız için doğrudan uzman erişimi sunuyoruz.
Eski PHP altyapısını güncel ve bakımı kolay bir siteye taşıyoruz