21 Ekim 2026'da PHP, birlikte PHP2Shell olarak adlandırılan iki kritik açık için acil güncellemeler yayınladı. Web siten PHP üzerinde çalışıyorsa bu seni ilgilendiriyor. Sitelerin çoğu da öyle: WordPress, WooCommerce, Joomla, Laravel ve özel yazılmış sitelerin çoğu PHP ile çalışır.
İyi haber: açık kapatıldı. Daha az iyi haber: düzeltme çıkmadan önce kötüye kullanım bildirildi ve pek çok site, bir daha asla düzeltme almayacak bir PHP sürümünde çalışıyor. Bu yazıda neler olduğunu, hangi sürümlerin güvenli olduğunu, sitenin etkilenip etkilenmediğini nasıl anlayacağını ve o durumda ne yapacağını okuyacaksın.
Neler oluyor
PHP2Shell, CVE-2026-109618 ve CVE-2026-109619 olarak bilinen iki açıktan oluşuyor. İkisi de 10 üzerinden 9.2 puan aldı; bu pratikte şu demek: mümkün olan en kısa sürede kapat.
Sorun WordPress'te, bir temada ya da bir eklentide değil, PHP'nin kendisinde. Konu, bir istek yarıda başarısız olduğunda PHP'nin belleği nasıl yönettiğiyle ilgili. Bir saldırgan bunu bilerek bozulmuş bir istekle tetikleyebilir. Başarılı olursa sunucuda kendi kodunu çalıştırabilir, ona ait olmayan verileri okuyabilir ya da siteyi çökertebilir.
Düzeltme yayınlanmadan önce açıklardan birini kötüye kullanmaya yönelik kod zaten dolaşıyordu ve güvenlik araştırmacıları gerçek saldırı girişimleri gördü. Yani bu teorik bir risk değil.
Hangi PHP sürümleri güvenli
Düzeltmeden önceki her sürüm, çok eskiye kadar, savunmasız. Açığın kapatıldığı sürümler şunlar:
| PHP sürümü | Güvenli olduğu sürüm | Hâlâ destekleniyor mu? |
|---|---|---|
| 8.5 | 8.5.12 | Evet |
| 8.4 | 8.4.27 | Evet |
| 8.3 | 8.3.36 | Evet |
| 8.2 | 8.2.35 | 31 Aralık 2026'ya kadar |
| 8.1 ve öncesi | Düzeltme yok | Hayır |
En önemli satır sonuncusu. PHP 8.1 ve daha eski sürümler artık PHP'den güvenlik güncellemesi almıyor. Bu sürümlerde çalışan bir site, hem bu açığa hem de sonraki her açığa karşı savunmasız kalıyor.
Bir ayrıntı: bazı barındırma firmaları düzeltmeyi, sürüm numarasını değiştirmeden zaten kullandığın sürüme ekliyor. Siten hâlâ 8.5.11 gösteriyorsa bu her zaman yanlış değil. Bu durumda barındırma firmana 21 Ekim düzeltmesinin senin PHP'nde olup olmadığını sor.
Sitenin etkilendiğini nasıl anlarsın
Bir saldırı her zaman hemen fark edeceğin izler bırakmaz. Özellikle siten son haftalarda savunmasız bir sürümde çalıştıysa şu işaretlere dikkat et:
- Ziyaretçiler spam, kumar ya da sahte mağaza sitelerine yönlendiriliyor; çoğu zaman yalnızca Google'dan ya da telefondan gelindiğinde.
- CMS'inde tanımadığın yöneticiler ya da kullanıcılar var.
- Tanımadığın dosyalar ortaya çıkıyor, özellikle görsellerinin ya da yüklemelerinin arasında PHP dosyaları.
- Siten birden yavaşlıyor ya da barındırma firman çok daha yüksek kullanım bildiriyor.
- Alan adın senin göndermediğin e-postalar gönderiyor ya da e-postaların spama düşüyor.
- Google sitende bir uyarı gösteriyor ya da Search Console bir güvenlik sorunu bildiriyor.
- Antivirüs programın ya da tarayıcın kendi siteni engelliyor.
Bunlardan birini görürsen, ilk bakışta her şey yeniden normal görünse bile içeri birinin girdiğini varsay.
Siten etkilendiyse ne yapmalısın
Panik işe yaramaz, sıra işe yarar. Benim kendim izlediğim sıra şu:
- Önce açığı kapattır. Savunmasız sürüm çalıştığı sürece aynı saldırı yarın yeniden olabilir. Güncellemeden temizlemek, musluk açıkken yer silmeye benzer.
- Şu anki halin bir kopyasını sakla. Bir şey silmeden önce dosyaların ve veritabanının tam bir kopyasını al; böylece sonradan ne olduğunu inceleyebilirsin.
- Tüm şifreleri ve anahtarları değiştir. Barındırma, FTP ya da SFTP, veritabanı, e-posta, CMS'teki tüm yöneticiler ve ödeme sağlayıcılarının ya da diğer bağlantıların API anahtarları. Açık, bellekten veri okumaya izin veriyor; bu yüzden yapılandırmanda ne varsa görülmüş say.
- İyice temizle. Tanımadığın kullanıcıları ve dosyaları kaldır, CMS'inin çekirdeğini, temanı ve eklentilerini temiz bir kaynaktan yeniden kur. Saldırıdan önceki bir yedeği geri yüklemek de olur, ama ancak açık kapatıldıktan sonra.
- Dosyalarının dışında neyin değiştiğine bak. Zamanlanmış görevler, yönlendirmeler, DNS kayıtları ve e-posta ayarları, sonradan yeniden içeri girmek için sık sık değiştirilir.
- Google'dan yeni bir inceleme iste. Sitende bir uyarı varsa, her şey temizlendiğinde Search Console'dan yeniden inceleme talep et.
- Müşterilerini düşün. Saldırgan siparişler, hesaplar ya da formlar gibi kişisel verileri görebildiyse, bunu 72 saat içinde veri ihlali olarak bildirmen gerekir: Belçika'da Veri Koruma Otoritesi'ne, Hollanda'da Hollanda Veri Koruma Otoritesi'ne.
Sitenin etkilenip etkilenmediğinden emin değil misin? O zaman etkilenmiş gibi davran. Şifreleri değiştirmek on beş dakika sürer; aylarca fark edilmeyen bir saldırgan çok daha pahalıya mal olur.
Neden bu kadar çok site eski bir PHP sürümünde kalıyor
Güncellemek bu kadar önemliyse neden hâlâ bu kadar çok site PHP 8.1 ya da daha eski bir sürümde çalışıyor? Genelde isteksizlikten değil. Eski bir site, daha yeni bir PHP sürümünde bozuluyor: yıllardır güncellenmeyen bir eklenti, yapımcısı bırakmış bir tema ya da on yıl önceki bir sürüm için yazılmış özel kod. Böylece sürüm olduğu yerde kalıyor, ta ki bunun gibi bir açık ortaya çıkana kadar.
Asıl risk de burada. Bu tek açık değil, artık ayak uyduramayan bir site. PHP 8.2, 31 Aralık 2026'ya kadar düzeltme alıyor. Siten bu sürümde çalışıyorsa planlamanın zamanı şimdi, ocak ayında değil.
Sana nasıl yardım edebilirim
2006'dan beri PHP ile çalışıyorum ve kendi sitelerimi en yeni sürümde geliştiriyorum. Siten etkilendiyse ya da eski bir sürümde takılı kaldıysa üç şekilde yardım edebilirim:
- PHP sürümünü yükseltmek. Siteni önce yeni sürümle bir test ortamında denerim, bozulanı düzeltirim ve ancak her şey çalıştığında geçiş yaparım. Canlı sitende sürpriz yok.
- Saldırıdan sonra temizlik. Ne olduğunu araştırırım, temizlerim, değişmesi gerekeni değiştiririm ve güvenliği sıkılaştırırım. Bir güvenlik turu tek seferlik 300 €.
- Siteni yeniden yazmak. Siten eskimiş eklentilerle ya da artık kimsenin anlamadığı kodla ayakta duruyorsa, onu hafif ve modern PHP ile yeniden inşa ederim. Daha hızlı, daha güvenli ve önümüzdeki yıllara hazır; Google'daki yerini korumak için aynı metinler ve adreslerle.
Bir sonraki açık yüzünden uykusuz kalmak istemiyor musun? Ayda 50 €'luk bakımla PHP sürümünü, yazılımını ve yedeklerini güncel tutarım; haberlerde okumadan önce benden duyarsın.
Sitenin güvenli olup olmadığından emin değil misin? Web sitenin adresiyle bana mesaj gönder. Ücretsiz kontrol eder, bir şey yapılması gerekip gerekmediğini dürüstçe söylerim.
