21 Ekim 2026'da PHP'de iki kritik güvenlik açığı duyuruldu; dünyanın dört bir yanında kamu kurumları, bankalar ve e-ticaret siteleri güncelleme yapılana kadar sitelerini geçici olarak kapattı. PHP2Shell adı verilen bu açıklar nedir, sitenizi etkiler mi ve şimdi neleri kontrol etmelisiniz?
Ne oldu?
PHP, WordPress, Joomla, Drupal ve Magento gibi platformların da üzerinde çalıştığı, web'in en yaygın sunucu tarafı programlama dili; web sitelerinin yaklaşık yüzde 70'inin PHP kullandığı tahmin ediliyor. 21 Ekim'de PHP ekibi, CVE-2026-109618 ve CVE-2026-109619 numaralı iki açığı kapatan acil bir güvenlik güncellemesi yayımladı. Açıkları inceleyen güvenlik firması Wiz bunlara PHP2Shell adını verdi.
İki açık da güncellenmemiş bir sunucuda, saldırganın şifre bilmesine ya da kimsenin bir bağlantıya tıklamasına gerek kalmadan uzaktan kod çalıştırmasına imkân tanıyabiliyor. Bu; sunucunun kontrolünün ele geçirilmesi, siteye arka kapı yerleştirilmesi ya da verilerin çalınması anlamına gelebilir. Açıklar, CVSS 4.0 ölçeğinde 10 üzerinden 9,2 puanla “kritik” olarak derecelendirildi ve PHP 5.4'ten bu yana yayımlanan sürümleri etkiliyor.
Neden bu kadar ses getirdi?
- Yapay zekâ destekli denetimle bulundu: Açıklar, Calif ve Wiz gibi güvenlik firmalarının yapay zekâ araçlarıyla yürüttüğü kaynak kod denetimlerinde ortaya çıktı. Açıklardan birinin temelindeki hata 2024'te fark edilmiş, ancak istismar edilebileceği gösterilmediği için düzeltilmemişti.
- Saldırılar yamadan önce başladı: Amazon, duyurudan dört gün önce, 17 Ekim'de ilk istismar girişimini tespit etti. Cloudflare müşterilerini korumak için güvenlik duvarı kuralları devreye aldı; watchTowr ise 21 Ekim'den itibaren gerçek saldırılar gözlemlediğini bildirdi.
- Önlem amaçlı kapanmalar yaşandı: Hollanda'nın Overheid.nl portalı, Finlandiya'nın kamuya açık devlet hizmetleri ve Fransa İçişleri Bakanlığı'nın siteleri bir süre erişime kapatıldı; Wikimedia Vakfı bazı yardımcı hizmetlerini, Internet Archive ise kısa bir süre sitesini kapattı. ABD Ulusal Güvenlik Ajansı (NSA), hemen güncellenemeyen sitelerin çevrim dışı bırakılmasını önerdi.
Türkiye'de durum
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, 21 Ekim gecesi yaptığı duyuruda kamu kurumları öncelikli olmak üzere ülke genelinde güvenlik taramaları başlattığını ve Siber Olaylara Müdahale Ekipleri (SOME) iletişim platformu üzerinden kurumlara ve kritik altyapı işletmecilerine acil güvenlik bildirimi gönderdiğini açıkladı. Başkanlık; internete açık sistemlerin kontrol edilmesini, yayımlanan güncellemelerin vakit kaybetmeden uygulanmasını, yönetim arayüzlerine erişimin yalnızca güvenilir IP adresleriyle sınırlandırılmasını ve gereksiz dış bağlantıların kısıtlanmasını istedi.
Siteniz etkilenir mi?
Sitenizin sunucu tarafında PHP çalışıyorsa, yani WordPress, Joomla, OpenCart gibi bir altyapı ya da PHP ile yazılmış özel bir yazılım kullanıyorsanız, güncelleme yapılmadıysa cevap büyük olasılıkla evet. Açıkları kapatan sürümler şunlar:
- PHP 8.5: 8.5.12 ve sonrası
- PHP 8.4: 8.4.27 ve sonrası
- PHP 8.3: 8.3.36 ve sonrası
- PHP 8.2: 8.2.35 ve sonrası
- PHP 7.4, 8.0 ve 8.1: Resmî yeni sürüm yok; yalnızca kaynak kod düzeltmeleri ile işletim sistemi ve barındırma firmalarının hazırladığı paketler var.
- PHP 7.3 ve öncesi: Düzeltme yok; desteklenen bir sürüme geçmek gerekiyor.
Statik web sitelerinde sayfalar her ziyarette PHP ile üretilmediği için bu açıkların hedef aldığı katman ortadan kalkar; bu sitenin sayfaları da statik HTML olarak hazırlanıyor. Yine de aynı sunucuda eski bir kampanya sitesi, bir alt alan adı ya da PHP ile çalışan bir yönetim paneli varsa onların da güncellenmesi gerekir.
Kontrol listesi
- Sürümü öğrenin: Barındırma panelinizde (Plesk, cPanel vb.) her sitenin hangi PHP sürümüyle çalıştığına bakın; yukarıdaki sürümlerin altındaysa güncelleyin.
- Barındırma firmanızdan teyit alın: Paylaşımlı barındırmada PHP'yi genellikle firma günceller. Plesk ve cPanel gibi kontrol panelleri güncellemelerini yayımladı; sunucunuza uygulanıp uygulanmadığını sorun.
- Servisleri yeniden başlatın: PHP-FPM gibi PHP'yi çalıştıran süreçler yeniden başlatılmadan yeni sürüm devreye girmez. PHP ekibi, hiçbir ayar değişikliğinin güncellemenin yerini tutmadığını vurguluyor.
- İz arayın: Saldırılar yamadan önce başladığı için 17 Ekim'den bu yana sunucuda beklenmedik dosyalar (özellikle yükleme klasörlerinde PHP dosyaları), yeni yönetici hesapları ya da tanımadığınız giden bağlantılar olup olmadığını kontrol ettirin.
- Unutulan kurulumları bulun: Kullanılmayan test siteleri, eski alt alan adları ve sahipsiz yönetim panelleri genellikle en kolay hedeftir; ya güncelleyin ya da kapatın.
- Yedeğinizi doğrulayın: Bir sorun çıktığında temiz bir yedeğe dönebilmek her şeyden önemli; 3-2-1 yedekleme kuralı iyi bir başlangıç noktası.
Teknik ekipler için bir not: 23 Ekim'de, yaygın olmayan bir yapılandırmada etkili olan ve 21 Ekim güncellemeleriyle kapanmayan ayrı bir açık (CVE-2026-115560) daha duyuruldu. Kanada Siber Güvenlik Merkezi, yaması çıkana kadar session.upload_progress.enabled ayarının kapatılmasını öneriyor. Güncel sürüm bilgilerini PHP'nin resmî sitesinden takip edebilirsiniz.
Bu olaydan çıkarılacak dersler
PHP2Shell, bir web sitesinin yayına alındığı gün “bitmediğini” bir kez daha gösterdi. Sunucu yazılımı, içerik yönetim sistemi ve eklentiler düzenli bakım ister; bakımı yapılmayan her kurulum, bir gün böyle bir haberle gündeme gelebilir.
Yapay zekâ, açıkların bulunmasını hızlandırdığı kadar istismar edilmesini de hızlandırıyor; güncelleme ile saldırı arasındaki süre artık günlerle ölçülüyor. Bu konuyu yapay zekâ destekli siber tehditler yazımızda ayrıntılı ele almıştık. Saldırı yüzeyini küçültmek, yani gereksiz eklentileri, eski siteleri ve herkese açık yönetim panellerini kaldırmak da güncellemeler kadar önemli; temel adımları işletmeler için siber güvenlik önlemleri yazımızda bulabilirsiniz.
Emin değilseniz birlikte bakalım
Sitenizin hangi PHP sürümüyle çalıştığını bilmiyorsanız ya da sunucunuzun güncellendiğinden emin olmak istiyorsanız bize yazın; durumu birlikte kontrol edelim. Barındırma, sunucu yönetimi ve bakım hizmetlerimiz için hizmetler sayfamıza göz atabilirsiniz.
