PHP'de Yılın En Tehlikeli Açığı: PHP2Shell PHP Sunucunu 5 Dakikada Kontrol Et ve Koru (CVE-2026-109618 / 109619)

Konu İçeriği — Hızlı Bakış ( cPanel / Web • ⏱ ~3 dk okuma)
01. Açık Tam Olarak Ne Yapıyor?
02. Kimler Etkileniyor?
03. Hangi Sürüm Güvenli?
04. Kendi Sunucumu Nasıl Kontrol Ederim?
05. Hemen Güncelleyemiyorsam Ne Yapmalıyım?
06. Son Sözüm

Genişletmek için tıkla ...

Selamlar. PHP ile çalışan bir siteniz, yönetim paneliniz ya da item shop gibi bir projeniz varsa bu konuyu lütfen atlamayın. 21 Ekim'de PHP ekibi planlanmış sürüm takviminin dışında acil bir güvenlik güncellemesi yayınladı. Kapatılan iki açık güvenlik tarafında "PHP2Shell" adıyla anılıyor ve ikisi de kritik seviyede.


Açık Tam Olarak Ne Yapıyor?

Ortada iki açık var: CVE-2026-109618 ve CVE-2026-109619. İkisinin de puanı 10 üzerinden 9.2. Kısaca anlatayım: saldırgan hiçbir hesaba giriş yapmadan sunucuya özel hazırlanmış bir form isteği gönderiyor, PHP'nin bellek yönetimini bozuyor ve sonunda sunucuda kendi kodunu çalıştırabiliyor. İşin kötü tarafı, bu olay sizin yazdığınız kod daha hiç çalışmadan, PHP gelen isteği ayrıştırırken yaşanıyor. Yani siteniz ne kadar temiz kodlanmış olursa olsun tek başına sizi korumuyor. Açıklardan biri ayrıca sunucu belleğindeki bilgileri (şifre, token, API anahtarı gibi) oturum çerezi üzerinden dışarı sızdırabiliyor.

Kimler Etkileniyor?

Web'e hizmet veren neredeyse her PHP kurulumu etkileniyor: PHP-FPM, Apache mod_php, php-cgi, LiteSpeed ve FrankenPHP. En riskli olanı mod_php. Araştırmacılar WordPress, Joomla, Drupal, phpMyAdmin, Nextcloud, Laravel ve WHMCS gibi çok kullanılan yazılımlarda açığın çalıştığını gösterdi. Saldırı aracı da internette yayınlandı, yani bu iş artık sadece teoride kalmıyor.

Hangi Sürüm Güvenli?

Düzeltme şu sürümlerle geldi:

PHP 8.5 kullanıyorsanız 8.5.12

PHP 8.4 kullanıyorsanız 8.4.27

PHP 8.3 kullanıyorsanız 8.3.36

PHP 8.2 kullanıyorsanız 8.2.35


PHP 8.1 ve daha eski sürümler artık resmi güncelleme almıyor. PHP ekibi 7.4, 8.0 ve 8.1 için kaynaktan derleyenlere küçük yamalar paylaştı ama en sağlıklısı desteklenen bir sürüme geçmek.

Kendi Sunucumu Nasıl Kontrol Ederim?

SSH ile bağlanıp php -v yazmanız yeterli. Çıkan sürüm yukarıdakinden düşükse güncelleme şart. Paylaşımlı hosting kullanıyorsanız cPanel ya da Plesk'teki PHP sürümü ekranından bakabilir, hosting firmanıza da "PHP2Shell yaması yapıldı mı?" diye sorabilirsiniz. Debian, Ubuntu, AlmaLinux gibi dağıtımlar bazen yamayı eski sürüm numarasının üzerine ekliyor; böyle durumlarda dağıtımın kendi güvenlik duyurusuna bakın. Remi deposundan PHP kuranlar da paketin yamalı halinin gelip gelmediğini ayrıca kontrol etsin.

Güncellemeden sonra PHP-FPM ya da Apache servisini mutlaka yeniden başlatın. Başlatmazsanız eski PHP süreçleri bellekte çalışmaya devam eder ve açık kapanmamış olur.

Hemen Güncelleyemiyorsam Ne Yapmalıyım?

PHP ekibi bazı geçici önlemler paylaştı ama bunların sunucuyu tamamen güvenli yapmadığını özellikle vurguluyor:

• php.ini içinde session.upload_progress.enabled = 0 yapmak
• post_max_size değerini sitenizin ihtiyacı kadar düşük tutmak
• Mümkünse web sunucusunda dosya yükleme (multipart) isteklerini geçici olarak kapatmak. Bu, siteye resim ya da dosya yüklemeyi de durdurur.

Bunları da yapamıyorsanız İngiltere'nin siber güvenlik merkezi NCSC'nin önerisi net: güncelleme yapılana kadar sistemi kapalı tutun. Sunucunuz yamasız halde bir süre açıkta kaldıysa tanımadığınız PHP dosyası, yeni açılmış yönetici hesabı ya da garip bir cron görevi var mı diye de bir göz atın.

Son Sözüm

"Benim küçük siteme kim saldıracak" demeyin; bu tür açıklarda saldırılar otomatik botlarla yapılıyor ve sitenin büyük küçük olmasına bakılmıyor. Beş dakikanızı ayırıp sürümünüze bakın, gerekiyorsa güncelleyin ve servisi yeniden başlatmayı unutmayın. Takıldığınız yer olursa konunun altına yazın, elimden geldiğince yardımcı olurum.

Sıkça Sorulan Sorular (SSS)