Son güncelleme: 28.10.2026

PHP'de "PHP2Shell" adı verilen iki kritik açık (CVE-2026-109618 ve CVE-2026-109619) 21 Ekim 2026'da yamalandı. Açıklar, kimlik doğrulaması gerekmeden sunucuda kod çalıştırılmasına izin verebiliyor ve gerçek saldırılarda kullanılıyor. Tek tam çözüm, PHP'yi yamalı sürüme güncellemek. Micro Bilgi'nin yönettiği sistemlerde kontrol ve güncelleme çalışması sürüyor.

Ne oldu?

PHP, web sitelerinin ve kurumsal uygulamaların büyük kısmının üzerinde çalıştığı programlama dilidir. WordPress, Laravel ve birçok e-ticaret altyapısı PHP ile çalışır.

Bulunan iki açık, PHP'nin gelen isteği uygulama kodu çalışmadan önce işlediği aşamada yer alıyor. Bu yüzden sitenizdeki şifre korumaları ve eklentiler bu açıklara karşı koruma sağlamıyor. İki açık da CVSS v4.0 ölçeğinde 9,2 puanla "kritik" sınıfında. CVSS, açıkların ciddiyetini 0 ile 10 arasında puanlayan ortak ölçektir.

  • CVE-2026-109618: Bellek yetersizliği (OOM: out of memory) durumunda istek verileri yarım kalabiliyor ve PHP bu bozuk veriyi geçerli sayabiliyor.
  • CVE-2026-109619: Bir isteğe ait bilgi, bellekten silindikten sonra da kalabiliyor ve aynı süreçteki sonraki bir istek tarafından kullanılabiliyor.

Her iki açık da RCE (uzaktan kod çalıştırma: saldırganın sunucunuzda kendi komutlarını çalıştırması) riski taşıyor.

Zaman çizelgesi

TarihGelişme
17.10.2026Amazon, kamuya duyurudan önce ilk istismar girişimini kaydetti.
20.10.2026Ayrıntılar planlanan tarihten önce internete sızdı; PHP ekibi yamayı öne çekti.
21.10.2026PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 yayımlandı. Siber Güvenlik Başkanlığı ulusal ölçekte uyarı yaptı ve tarama başlattı.
23.10.2026PHP, henüz yaması olmayan ilgili bir açık (CVE-2026-115560) için bilgilendirme yayımladı.
26.10.2026ABD siber güvenlik ajansı CISA, CVE-2026-109618'i aktif istismar edilen açıklar listesine ekledi.

Güvenlik firmaları açıkların gerçek saldırılarda kullanıldığını ve internette geniş çaplı otomatik tarama yapıldığını bildiriyor.

Kimler etkileniyor?

Web isteği karşılayan her PHP kurulumu kapsamda. PHP'nin web sunucusuyla nasıl çalıştığı fark etmiyor: PHP-FPM (Nginx ile yaygın kullanılan ayrı süreç modeli), mod_php (Apache'nin içinde çalışan PHP), php-cgi, LiteSpeed ve FrankenPHP etkileniyor. Risk en çok Apache mod_php kurulumlarında yüksek.

PHP sürümüDurum
8.5.x8.5.12 ve sonrası yamalı
8.4.x8.4.27 ve sonrası yamalı
8.3.x8.3.36 ve sonrası yamalı
8.2.x8.2.35 ve sonrası yamalı (8.2 desteği 31.12.2026'da bitiyor)
7.4, 8.0, 8.1Resmî sürüm yok. PHP ekibi kaynak kod düzeyinde asgari yama yayımladı; Linux dağıtımı veya uzun süreli destek paketleri gerekir.
7.3 ve öncesiYama yok; desteklenen bir sürüme geçiş gerekir.

WordPress, Laravel ve benzeri platformlar: Açık uygulamada değil, PHP'nin kendisinde. WordPress çekirdeğini, eklentileri veya Laravel paketlerini güncellemek tek başına sorunu çözmez; sunucudaki PHP sürümü güncellenmelidir. Paylaşımlı hosting kullanıyorsanız bu güncellemeyi hosting firmanız yapar.

Sürüm numarası yanıltabilir: Ubuntu, Debian veya Red Hat gibi dağıtımlar yamayı kendi paketlerine eklerken sürüm numarasını değiştirmeyebilir. Eski görünen bir sürüm yamalı olabilir. Bu durumda dağıtımınızın güvenlik bültenine bakın.

Hemen yapmanız gerekenler

  1. Web sitesinin kullandığı PHP sürümünü öğrenin. Hosting panelinizde (cPanel, Plesk, CloudPanel vb.) PHP sürümü görünür. Komut satırındaki php -v çıktısı, web sitesinin kullandığı sürümden farklı olabilir; bunu panelden ya da hosting firmanızdan teyit edin.
  2. Güncelleyin. Sürümünüz tablodaki yamalı sürümden eskiyse, kendi sunucunuzda işletim sistemi paket yöneticisiyle PHP'yi güncelleyin.
  3. PHP süreçlerini yeniden başlatın. Güncelleme, PHP-FPM veya Apache yeniden başlatılana kadar etkili olmaz.
  4. Hosting firmanıza yazın. Paylaşımlı veya yönetilen hosting kullanıyorsanız, "PHP2Shell (CVE-2026-109618, CVE-2026-109619) yamaları sunucumda uygulandı mı?" diye sorun ve yazılı cevap isteyin.
  5. Eski sürümleri planlayın. PHP 8.1 veya daha eskisini kullanıyorsanız, geçici yamadan sonra desteklenen bir sürüme geçişi takvime alın.
  6. Kayıtlara bakın. 17 Ekim'den bu yana PHP ve web sunucusu hata kayıtlarında şunları arayın: başlangıç aşamasında bellek tükenmesi hataları ("Unknown on line 0" ifadesiyle), Apache süreçlerinde beklenmedik çökmeler (segmentation fault) ve web sunucusu kullanıcısının başlattığı komut satırı süreçleri. Bu sonuncusu en güçlü ihlal işaretidir. Şüpheli bir şey görürseniz sunucuyu internetten ayırmayı ve uzman desteği almayı değerlendirin.

Sunucunuz etkileniyor mu?

Bu adımları kendiniz uygulamak istemiyorsanız ya da sonuçtan emin değilseniz, sunucunuzdaki PHP sürümünü ve yapılandırmasını biz kontrol edelim. Kontrol talebiniz için iletişim formunu doldurabilir veya 0216 344 15 59 numarasından bize ulaşabilirsiniz.

Yaması henüz çıkmayan açık için geçici önlemler

PHP ekibi 23 Ekim'de CVE-2026-115560 için bir bilgilendirme yayımladı. Bu açık, yamalı 8.5.12 dahil güncel sürümleri de etkiliyor. Yama bir sonraki düzenli PHP sürümüyle gelecek. CVSS puanı ve etkilenen sürümlerin tam listesi henüz açıklanmadı.

PHP ekibi bu açığın istismarını olası görmüyor. Sorun yalnızca, uygulamanın oturum ayarlarını belirli ve yaygın olmayan bir şekilde çalışma anında değiştirdiği kurulumlarda ortaya çıkıyor. Yine de önerilen önlem basit:

  • php.ini dosyasında veya PHP-FPM havuz ayarlarında session.upload_progress.enabled = 0 olarak ayarlayın, ardından tüm PHP süreçlerini yeniden başlatın.
  • Bu ayarı uygulama kodunda ini_set() ile veya .user.ini dosyasıyla yapmayın; o aşamada geç kalır.
  • PHP2Shell için bu ayarı zaten yaptıysanız ek işlem gerekmez.

Çoğu modern yükleme formu ilerlemeyi tarayıcı tarafında izlediği için bu ayarın kapatılması genellikle siteyi etkilemez. Yine de önce test ortamında deneyin.

WAF (web uygulama güvenlik duvarı: zararlı istekleri sunucuya ulaşmadan süzen katman) ek koruma sağlar. Örneğin Cloudflare, PHP2Shell'e yönelik kuralları ücretsiz plan dahil tüm WAF müşterileri için varsayılan olarak devreye aldı. Ancak WAF yamanın yerini tutmaz. PHP ekibi de yapılandırma önlemlerinin riski azalttığını, sistemi tam olarak güvenli hâle getirmediğini belirtiyor.

Micro Bilgi olarak aldığımız önlemler

Yönettiğimiz sistemlerde çalışma sürüyor ve şu sırayla ilerliyoruz:

  • Envanter: Her sunucuda web sitesinin kullandığı PHP sürümünü ve çalışma biçimini (PHP-FPM, mod_php) tespit ediyoruz.
  • Öncelik: İnternete açık sunucular ve mod_php kullanan kurulumlar önce ele alınıyor.
  • Güncelleme: Yamalı sürüme geçirilen sunucularda PHP süreçlerini yeniden başlatıp sürümü yeniden doğruluyoruz. PHP 8.1 ve öncesini kullanan sistemler için desteklenen sürüme geçişi müşterimizle birlikte planlıyoruz.
  • Geçici önlem: Yaması henüz çıkmayan CVE-2026-115560 için önerilen yapılandırma değişikliğini, siteyi etkilemediğini kontrol ederek uyguluyoruz.
  • Kayıt kontrolü: 17 Ekim'den bu yana hata kayıtlarında yukarıda saydığımız işaretleri arıyoruz.

Çalışma tamamlandıkça her müşterimize kendi sistemlerinin durumunu ayrıca bildiriyoruz. Mevcut müşterimizseniz ve beklemeden bilgi almak istiyorsanız, her zamanki destek kanalımızdan bize yazabilirsiniz.

Uzun vadede ne yapmalı?

PHP2Shell'de istismar girişimleri yama yayımlanmadan dört gün önce başladı. Yama çıktıktan sonra da saldırganlar internet genelinde güncellenmemiş sunucuları otomatik olarak taradı. Bu tablo üç alışkanlığın önemini gösteriyor:

  • Düzenli yama yönetimi: Güvenlik güncellemelerinin belirli bir takvimle, test edilerek uygulanması.
  • Sürüm envanteri: Hangi sunucuda hangi PHP sürümünün çalıştığını önceden bilmek. Bu bilgiye sahip ekipler bu hafta saatler içinde harekete geçebildi.
  • İzleme: Olağan dışı hata ve süreçlerin ilk anda fark edilmesi.

Kendi BT ekibi olmayan işletmeler için bu işleri sürekli takip etmek zordur. Sunucu hizmetlerimiz ve yönetilen BT hizmetimiz kapsamında düzenli yama yönetimini sizin yerinize üstleniyoruz. 7/24 izleme ve olay müdahalesi Premium destek paketimizde yer alıyor; diğer paketlerde destek hafta içi 09:00-18:00 arasında veriliyor. Micro Bilgi Teknolojileri, 20 yılı aşkın tecrübeye sahip ekibiyle 500'den fazla firmada 10.000'i aşkın lisansı yönetiyor. Sunucu, ağ, güvenlik ve Microsoft 365 altyapısını tek elden kuruyor ve yönetiyoruz.

Yardım

Sisteminizi birlikte kontrol edelim

PHP sürümünüzden emin değilseniz ya da güncellemeyi planlamak için desteğe ihtiyacınız varsa bize ulaşın. Sunucunuzu inceleyip yapılması gerekenleri net bir listeyle size iletir, isterseniz güncellemeyi de biz yaparız.

Bu yazıyı yeni gelişmeler oldukça güncelleyeceğiz.

Kaynaklar

Lisans, kurulum ya da destek mi gerekiyor?

Microsoft lisansları, kurulum ve BT desteği için ihtiyacınızı yazın. Mesai saatlerinde 30 dakika içinde dönüş yapıyoruz.

Bilgileriniz yalnızca bu talebe dönüş için kullanılır. Ayrıntılar: KVKK Aydınlatma Metni.

veya WhatsApp · 0216 344 15 59

Kategoriler

Tüm Yazılar