PHP’de Kritik Güvenlik Açığı Alarmı: PHP2Shell Saldırıları Başladı, Milyonlarca Sistem Risk Altında

PHP altyapısında tespit edilen iki kritik güvenlik açığı, saldırganların sunucularda uzaktan kod çalıştırmasına olanak tanıyabiliyor. PHP ekibi güvenlik yamalarını yayımlarken, saldırı girişimlerinin güncelleme öncesinde başladığına ilişkin bulgular da ortaya çıktı. WordPress başta olmak üzere PHP tabanlı sitelerin yöneticilerinin vakit kaybetmeden sistemlerini kontrol etmesi gerekiyor.

İnternetin en yaygın sunucu taraflı yazılım teknolojilerinden PHP, kritik güvenlik açıkları nedeniyle küresel çapta güvenlik gündeminin merkezine yerleşti. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen iki açık, etkilenen sistemlerde saldırganların kullanıcı hesabına ihtiyaç duymadan uzaktan kod çalıştırabilmesine yol açabiliyor.

PHP geliştirici ekibi, 21 Ekim 2026’da güvenlik güncellemelerini yayımlayarak kullanıcıları acil güncelleme yapmaya çağırdı. Ancak tehlikenin boyutunu artıran gelişme, Amazon Web Services (AWS) araştırmacılarının saldırı girişimlerine ilişkin bulguları oldu. WIRED’ın aktardığı AWS araştırmasına göre, PHP2Shell olarak anılan açıkları hedefleyen en az bir saldırı girişimi 17 Ekim’de, yani güvenlik yamaları kamuoyuna açıklanmadan dört gün önce gözlemlendi.

Bu gelişme, PHP tabanlı web siteleri için yalnızca bir yazılım güncellemesi meselesi değil, aynı zamanda olası sunucu ihlallerinin araştırılmasını gerektiren bir güvenlik sorunu anlamına geliyor.

PHP2Shell açığı nedir, neden bu kadar tehlikeli?

PHP2Shell adıyla anılan güvenlik sorunu, PHP çalışma ortamındaki bellek yönetimi ve hata işleme mekanizmalarıyla ilgili iki ayrı kritik açıktan oluşuyor. Her iki açık da CVSS 4.0 değerlendirmesinde 10 üzerinden 9,2 puanla kritik seviyede sınıflandırıldı.

İlk açık olan CVE-2026-109618, belleğin yetersiz kaldığı durumlarda PHP’nin hata işleme sürecindeki kontrol akışını etkiliyor. Bellek yetersizliği hatası sırasında istek verilerinin yeterince başlatılmamış olması, devamındaki işlemlerin hatalı bellek durumlarıyla çalışmasına neden olabiliyor.

CVE-2026-109619 ise serbest bırakılmış belleğe erişim anlamına gelen use-after-free türünde bir güvenlik açığı. Bu senaryoda, bir isteğe ait iç durum bilgileri bellek serbest bırakıldıktan sonra geçerliliğini koruyabiliyor. Aynı çalışan süreç tarafından işlenen sonraki isteklerde bu eski durumun kullanılması, saldırganın PHP çalışma ortamını istismar etmesine zemin hazırlayabiliyor.

Her iki açıkta da asıl risk, başarılı bir saldırının uygulama seviyesindeki korumaları aşarak sunucu üzerinde yetkisiz kod çalıştırmaya kadar ilerleyebilmesi. Bu durum; web dosyalarının değiştirilmesi, uygulama sırlarının ele geçirilmesi, veri tabanlarına erişilmesi ve sunucunun başka saldırılar için kullanılması gibi sonuçlar doğurabilir. Gerçek etki ise sunucunun yapılandırmasına, çalışan servis hesabının yetkilerine ve diğer güvenlik kontrollerine bağlıdır.

PHP ekibi, özellikle Apache üzerinde mod_php kullanan kurulumların riskini vurguluyor. Yayımlanan teknik bilgilere göre, gösterilmiş bir saldırı yöntemi uygulama kodu çalışmaya başlamadan önce tetiklenebiliyor. Bununla birlikte risk yalnızca Apache ile sınırlı değil; PHP-FPM, php-cgi, FrankenPHP ve LiteSpeed gibi web isteklerini işleyen PHP kurulumları da etkilenen sürümleri kullanıyorsa kontrol edilmeli.

Hangi PHP sürümleri etkileniyor?

PHP’nin resmî güvenlik duyurusuna göre, PHP 5.4’ten 8.5.11’e kadar olan sürümler bu güvenlik sorununun kapsamına giriyor. PHP ekibi, desteklenen ana sürümler için düzeltilmiş paketleri yayımladı.

Tablodaki sürümler, PHP’nin 21 Ekim 2026 tarihli resmî duyurusunda belirtilen düzeltmeleri içeriyor. Yönetim panelinde görülen PHP sürümü bu değerlerden eskiyse, hosting sağlayıcısı veya sistem yöneticisi üzerinden güncelleme durumu derhâl kontrol edilmeli.

PHP 8.1 ve daha eski sürümler için ayrıca dikkatli olunması gerekiyor. Bu sürümler PHP projesi tarafından standart güvenlik güncellemesi almıyor. Bazı Linux dağıtımları ve uzun dönem destek (LTS) sağlayıcıları düzeltmeleri geriye taşıyabiliyor. Bu nedenle yalnızca sürüm numarasına bakmak yerine, kullanılan dağıtımın güvenlik duyurusu ve kurulu paketin yama durumu da incelenmeli. Uzun vadede desteklenen bir PHP sürümüne geçiş planlanmalı.

Önemli: PHP 8.2.35 bu açıklar için düzeltilmiş sürümler arasında yer alsa da PHP 8.2’nin desteği 31 Aralık 2026’da sona eriyor. Bu nedenle yalnızca açığı kapatmak değil, sonraki güvenlik güncellemelerini de alabilecek bir sürüme geçişi planlamak gerekiyor.

PHP ekibi ne yaptı?

PHP güvenlik ekibi, 20 Ekim’de yaklaşan kritik güvenlik güncellemesi için ön duyuru yayımladı. Ertesi gün, 21 Ekim’de düzeltilmiş sürümler ve teknik ayrıntılar kamuoyuyla paylaşıldı.

Yayımlanan düzeltmelerin temel amacı, bellek yetersizliği ve serbest bırakılmış belleğin yeniden kullanılmasıyla ilişkili hata işleme sorunlarını gidermek. PHP ekibi, web isteklerini işleyen tüm PHP kullanıcılarına güncellemeyi gecikmeden uygulamalarını tavsiye ediyor.

Geliştirici ekibi ayrıca Linux dağıtımlarının ve uzun dönem destek sağlayıcılarının yamaları önceden aldığını belirtiyor. Dolayısıyla bazı sistemlerde düzeltme, dağıtımın güncel paketleri üzerinden sağlanabiliyor. Bu durum özellikle paylaşımlı hosting, yönetilen sunucu ve kurumsal Linux altyapıları için önemli.

PHP ekibinin mesajı net: Geçici önlemler belirli saldırı yollarını zorlaştırabilse de kurulumu güvenli hâle getirmenin tam yolu uygun güvenlik yamasını uygulamak.

Saldırılar yama yayımlanmadan önce başladı mı?

Mevcut bulgular, en azından bazı saldırı girişimlerinin yamaların yayımlanmasından önce gerçekleştiğine işaret ediyor. WIRED’ın 21 Ekim tarihli haberinde aktarılan AWS araştırmasına göre, araştırmacılar 17 Ekim’de bir honeypot sistemine yönelen PHP2Shell bağlantılı bir saldırı girişimini geriye dönük incelemelerde tespit etti.

AWS, söz konusu girişimin gerçek sistemlerde başarılı olup olmadığının net olmadığını belirtirken, 21 Ekim’de kamuya açık hâle gelen teknik ayrıntıların ardından saldırı girişimlerinin yaygınlaştığını bildirdi.

Bu ayrım önemli: Saldırı girişiminin gözlemlenmesi, her hedef sistemin ele geçirildiğini kanıtlamıyor. Ancak açıkların kamuoyuna duyurulması ve düzeltmelerin analiz edilebilir hâle gelmesi, savunmasız sistemlerin daha hızlı hedef alınabileceği anlamına geliyor.

Reuters’ın 21 Ekim tarihli haberine göre, bazı Avrupa ülkelerindeki kurumlar ve çeşitli çevrim içi hizmetler, güncellemeler uygulanana kadar sistemlerini tedbir amacıyla çevrim dışına aldı. Avrupa Birliği Siber Güvenlik Ajansı ENISA ve diğer Avrupa kurumları da kuruluşlara etkilenen sistemleri belirleme, yamaları uygulama ve güncellemenin hemen mümkün olmadığı durumlarda internete açık sistemleri izole etmeyi değerlendirme çağrısında bulundu.

Bu tablo, güvenlik açığının yalnızca teorik bir risk olarak değerlendirilmemesi gerektiğini gösteriyor.

WordPress ve diğer PHP tabanlı siteler ne yapmalı?

PHP’deki açık, WordPress veya başka bir içerik yönetim sistemine özgü bir eklenti hatası değil; doğrudan PHP çalışma ortamıyla ilgili. Bu nedenle yalnızca WordPress çekirdeğini, temaları veya eklentileri güncellemek yeterli olmayabilir.

WordPress, Drupal, Joomla ve Magento gibi PHP kullanan platformlarda çalışan sitelerin yöneticileri şu adımları izlemeli:

1. Çalışan PHP sürümünü hemen kontrol edin.

Hosting kontrol panelindeki PHP sürümü ile sitenin gerçekten kullandığı PHP sürümünü karşılaştırın. Komut satırı, PHP-FPM havuzları, konteynerler ve web sunucusu farklı sürümler kullanabiliyorsa yalnızca tek bir yerde yapılan kontrol yeterli olmayabilir.

2. Hosting sağlayıcısından yama durumunu teyit edin.

Paylaşımlı hosting kullanıyorsanız PHP sürümünü her zaman kendiniz değiştiremeyebilirsiniz. Sağlayıcınıza CVE-2026-109618 ve CVE-2026-109619 için hangi paketin kurulduğunu ve düzeltmenin sunucu genelinde uygulanıp uygulanmadığını sorun. Sağlayıcının yalnızca “PHP güncel” demesi yerine, ilgili güvenlik duyurusuna göre doğrulanabilir bir yanıt vermesini isteyin.

3. PHP’yi düzeltilmiş sürüme yükseltin.

Kendi sunucusunu yönetenler, işletim sistemi ve uygulama uyumluluğunu kontrol ederek düzeltilmiş PHP paketini kurmalı. Docker veya benzeri konteyner altyapılarında yalnızca ana makineyi güncellemek yeterli değildir; PHP içeren imajlar yeniden oluşturulmalı ve çalışan servisler yeni imajlarla dağıtılmalı. Otomatik güncelleme mekanizması kullanılıyorsa yeni paketin gerçekten devreye girdiği doğrulanmalı.

4. Güncelleme öncesinde yedek alın ve sonrasında test yapın.

Dosyaların ve veri tabanının güncel, geri yüklenebilir bir yedeğini alın. Ardından siteyi, yönetim panelini, ödeme işlemlerini, form gönderimlerini, e-posta gönderimini ve kritik eklentileri test edin. Yedek almak güncellemenin yerine geçmez; yalnızca olası uyumluluk sorunlarında geri dönüş olanağı sağlar.

5. Sunucu günlüklerini inceleyin.

Yama uygulamak geçmişte saldırı girişimi olup olmadığını tek başına göstermez. Web sunucusu erişim günlükleri, PHP hata günlükleri, kimlik doğrulama kayıtları, güvenlik duvarı kayıtları ve uç nokta tespit sistemleri olağan dışı istekler veya süreçler bakımından incelenmeli. Beklenmeyen dosya değişiklikleri, yeni yönetici hesapları, bilinmeyen zamanlanmış görevler ve olağan dışı dış bağlantılar araştırılmalı.

6. Şüpheli bir durum varsa yalnızca yamalamakla yetinmeyin.

Sunucuda izinsiz dosyalar, bilinmeyen hesaplar veya açıklanamayan süreçler görülürse olası ihlal varsayımıyla hareket edin. Etkilenen sistemi mümkünse kontrollü biçimde ağdan izole edin, kanıt niteliğindeki günlükleri koruyun ve olay müdahalesi başlatın. Temiz bir ortamdan parolaları ve erişim anahtarlarını değiştirin; sistemin yalnızca güncellenmesiyle tamamen temizlendiğini varsaymayın.

Güncelleme hemen yapılamıyorsa ne yapılmalı?

PHP ekibi, bazı geçici yapılandırma önlemlerinin belirli saldırı yollarını azaltabileceğini açıklıyor. Bunlar arasında bellek sınırı davranışının yönetilmesi, istek gövdesi ve dosya yükleme boyutlarının sınırlandırılması, web sunucusu veya ters vekil katmanında istek karmaşıklığına ilişkin limitlerin uygulanması ve çalışan süreçlerin kaynaklarının sınırlandırılması bulunuyor.

Ancak bu ayarların uygulamanın çalışma biçimine göre değerlendirilmesi gerekiyor. Örneğin bellek sınırının değiştirilmesi, dosya yükleme limitlerinin daraltılması veya istek boyutlarının kısıtlanması bazı uygulamalarda işlev kaybına yol açabilir. Ayrıca bu tedbirler her saldırı yolunu kapatmaz ve güvenlik yamasının yerini tutmaz.

Güncellemenin kısa sürede uygulanamadığı, internete açık ve kritik bir hizmet söz konusuysa erişimi geçici olarak kısıtlamak ya da sistemi kontrollü biçimde çevrim dışına almak daha güvenli seçenek olabilir. Bu karar, hizmetin önemi ve olası kesintinin etkisi dikkate alınarak verilmelidir.

Sonuç: PHP tabanlı siteler için beklemek riskli

PHP2Shell adıyla gündeme gelen iki kritik açık, web sunucularının güvenliğinin yalnızca içerik yönetim sistemi ve eklentilerden ibaret olmadığını bir kez daha gösteriyor. PHP çalışma ortamındaki bir sorun, uygulamanın kendi kodundan bağımsız olarak risk oluşturabiliyor.

22 Ekim 2026 itibarıyla düzeltmeler yayımlanmış durumda; ancak bu, bütün sitelerin korunduğu anlamına gelmiyor. Sunucu yöneticilerinin yama durumunu doğrulaması, PHP içeren konteyner ve hizmetleri kontrol etmesi ve olası ihlal belirtilerini incelemesi gerekiyor.

Özellikle WordPress ve diğer PHP tabanlı siteleri yönetenler için en doğru yaklaşım, güncellemeyi sonraki bakım takvimine bırakmamak. Önce etkilenen sistemi belirlemek, ardından düzeltmeyi uygulamak ve son olarak saldırı belirtisi olup olmadığını kontrol etmek gerekiyor. Kritik güvenlik açıklarında hızlı güncelleme kadar, güncellemenin gerçekten devreye alındığının doğrulanması da önemli.

Kaynaklar

1. PHP.net – Resmî güvenlik duyurusu ve düzeltilmiş sürümler: https://www.php.net/
2. ENISA – PHP’deki kritik güvenlik açıklarına ilişkin ortak açıklama (21 Ekim 2026): https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities
3. WIRED – Yamalar yayımlanmadan önce gözlemlenen PHP2Shell saldırı girişimleri (21 Ekim 2026): https://www.wired.com/story/hackers-exploited-the-php-vulnerabilities-days-before-they-were-patched/
4. Reuters – PHP açıkları sonrasında kurumların aldığı önlemler (21 Ekim 2026): https://www.reuters.com/world/asia-pacific/eu-agency-warns-websites-may-need-be-taken-offline-php-prepares-patches-2026-10-21/
5. Canadian Centre for Cyber Security – Etkilenen sürümler ve önerilen güvenlik önlemleri: https://www.cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619

Editör notu: Haber 22 Ekim 2026 itibarıyla yayımlanan resmî duyurular ve güvenlik araştırmalarına dayanmaktadır. Yayın öncesinde PHP’nin resmî güvenlik duyurusundaki sürüm ve yama bilgileri yeniden kontrol edilmelidir.