PHP'de bulunan iki kritik açık (CVE-2026-109618 ve CVE-2026-109619) saldırganın şifre olmadan sunucuda komut çalıştırmasına izin veriyor; birkaç ülkede devlet siteleri önlem amaçlı kapatıldı. Hangi sürümler etkileniyor, sitenizin risk altında olup olmadığını nasıl anlarsınız ve Digital Küre sunucularında hangi önlemleri aldık?
21 Ekim 2026'da PHP ekibi, kendi tarihinin en ciddi güvenlik yamalarından birini yayınladı. Araştırmacıların PHP2Shell adını verdiği iki açık — CVE-2026-109618 ve CVE-2026-109619 — bir saldırganın şifre ya da hesap olmadan, internete açık bir sunucuda uzaktan komut çalıştırmasına imkân veriyor. İkisi de CVSS 4.0 ölçeğinde 9,2 puanla kritik sınıfında.
Haberin kapsamı teknik çevrelerle sınırlı kalmadı: Almanya Dijital Dönüşüm Bakanlığı bazı sitelerini önlem amacıyla kapattı, Fransa İçişleri Bakanlığı yerel idare sitelerini devre dışı bıraktı; Belçika, Hollanda, Finlandiya ve Çekya'da kamu siteleri yama uygulanana kadar kapatıldı. Türkiye'de Siber Güvenlik Başkanlığı kamu kurumlarına odaklı tarama başlattı.
Teknik Olarak Ne Oldu?
İki açık da PHP'nin bellek yönetimiyle ilgili:
- CVE-2026-109618: Bellek tükendiğinde istek temizliği sırasında, yarım kalmış veriler geçerli veriymiş gibi işlenebiliyor.
- CVE-2026-109619: Bir isteğe ait durum bilgisi, belleği serbest bırakıldıktan sonra da kullanılmaya devam edebiliyor.
Her iki durumda da sonuç aynı yere varıyor: saldırgan, sunucuda kendi kodunu çalıştırabiliyor. Güvenlik firması watchTowr açıkların vahşi doğada istismar edildiğini bildirdi. Açıkları ilk bildiren taraflar OpenAI ile çalışan bir araştırmacı (11 Ağustos) ve Alphabet'e bağlı güvenlik firması Wiz (24 Ağustos) oldu.
Hangi Sürümler Etkileniyor?
| PHP dalı | Güvenli sürüm | Durum |
|---|---|---|
| 8.5 | 8.5.12 | Yamalandı (21 Ekim 2026) |
| 8.4 | 8.4.27 | Yamalandı |
| 8.3 | 8.3.36 | Yamalandı |
| 8.2 | 8.2.35 | Yamalandı |
| 8.1 ve öncesi | — | Resmî destek dışında; dağıtımınızın yamasını kontrol edin |
Bu sürümlerden önceki tüm yayınlar etkileniyor. Ayrıca uyarılarda, Apache mod_php yapılandırmasının riski artırdığı belirtildi.
Sitenizin Risk Altında Olup Olmadığını 3 Adımda Kontrol Edin
- PHP sürümünüzü öğrenin. Hosting panelinizde "PHP Sürümü" bölümünden ya da
sunucuda
php -vkomutuyla görebilirsiniz. - Yukarıdaki tabloyla karşılaştırın. Sürümünüz güvenli sürümün altındaysa etkileniyorsunuz.
- Hosting firmanıza sorun. Panelden sürüm değiştiremiyorsanız tek cümlelik bir soru yeterli: "Sunucuda PHP2Shell yaması (CVE-2026-109618/109619) uygulandı mı, PHP-FPM yeniden başlatıldı mı?" Net cevap alamıyorsanız bu başlı başına bir uyarı işaretidir.
Yapılması Gerekenler
- Hemen güncelleyin. Dağıtımınızın paket deposundan yamalı sürüme geçin.
- Servisi yeniden başlatın. En çok atlanan adım budur: paket güncellense de PHP-FPM (ya da Apache) yeniden başlatılmazsa bellekte eski kod çalışmaya devam eder.
- Dışa açık erişimi daraltın. Yönetim panelleri, test ortamları ve eski kurulumlar internete açık durmamalı.
- Geriye dönük inceleme yapın. Açıkların Ağustos'tan beri bilindiği düşünülürse, yalnız yamalamak yetmez; ele geçirilmiş olma ihtimalini de kontrol edin.
- Yedeklerinizi doğrulayın. Geri dönmeniz gerekirse işe yarayacak, açıktan önceki bir yedeğiniz olduğundan emin olun.
Digital Küre Olarak Aldığımız Önlemler
Müşterilerimizin siteleri kendi sunucumuzda barınıyor; bu yüzden önlemleri beklemeden uyguladık. Yaptıklarımız, tarihleriyle:
- Yama uygulandı. Sunucumuzdaki PHP, yamanın yayınlanmasının ertesi günü (22 Ekim 2026, saat 14:35) 8.5.12 sürümüne yükseltildi.
- Servisler yeniden başlatıldı. PHP-FPM 14:36'da yeniden başlatıldı; yani çalışan süreçler artık yamalı kodu kullanıyor. Bu adım atlanırsa güncelleme kâğıt üzerinde kalır.
- Mimarimiz zaten daha düşük riskli. Sunucumuzda Apache ve mod_php bulunmuyor; nginx + PHP-FPM mimarisi kullanıyoruz ve her site kendi sistem kullanıcısı ve kendi PHP havuzu altında izole çalışıyor.
- Otomatik güvenlik güncellemeleri açık. Kritik yamalar, biz fark etmeden önce sunucuya iniyor.
- Bütünlük taraması yapıldı. Son 7 günde değişen tüm PHP dosyaları gözden geçirildi (hepsi bizim yayınlarımız), bilinen web shell kalıpları tarandı ve zamanlanmış görevler kontrol edildi. Bulgu yok.
- İzleme sürüyor. Sunucuda saatlik giriş denetimi ve günde iki kez izolasyon kontrolü çalışıyor; olağan dışı bir durumda uyarı üretiyor.
Sitesi bizde barınan müşterilerimizin yapması gereken bir şey yoktur. Başka bir firmada barınıyorsanız yukarıdaki üç adımlık kontrolü bugün yapmanızı öneririz.
Bu Olaydan Çıkarılacak Ders
Bu açık özel bir eklentiden, temadan ya da sizin kodunuzdan kaynaklanmıyor — doğrudan PHP'nin kendisinden. Yani "sitemiz basit, kimse uğraşmaz" savunması burada geçersiz: saldırılar hedef seçerek değil, internetin tamamını tarayarak yapılıyor. Kalıcı korunmanın yolu tek bir yamadan değil, düzenli güncellenen bir altyapıdan geçiyor. Sitenizin güncel tutulup tutulmadığından emin değilseniz bize yazın, mevcut durumu ücretsiz kontrol edelim.
Sık Sorulan Sorular
PHP2Shell nedir?
PHP yorumlayıcısında bulunan iki kritik güvenlik açığına verilen ad. CVE-2026-109618 bellek bozulmasından, CVE-2026-109619 istek bittikten sonra ayakta kalan eski durum verisinden kaynaklanıyor. İkisi de CVSS 4.0 ölçeğinde 9,2 puanla "kritik" sınıfında ve saldırganın sunucuda uzaktan kod çalıştırmasına imkân veriyor.
Hangi PHP sürümleri etkileniyor?
Yama 21 Ekim 2026'da yayınlandı: güvenli sürümler 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Bu sürümlerden önceki tüm yayınlar etkileniyor. PHP 8.1 ve öncesi resmî destek dışında; bu sürümleri kullanıyorsanız sorun yalnız bu açık değil, genel olarak güncelleme almamanızdır.
Sitemin PHP sürümünü nasıl öğrenirim?
Hosting panelinizde (cPanel, Plesk, HestiaCP) "PHP Sürümü" ya da "PHP Selector" bölümünden görebilirsiniz. Sunucuya erişiminiz varsa komut satırında "php -v" yazmanız yeterli. Emin değilseniz hosting firmanıza "sunucuda hangi PHP sürümü çalışıyor, PHP2Shell yaması uygulandı mı?" diye sorun — bu sorunun net bir cevabı olmalı.
Güncelleme yaptım, başka bir şey gerekiyor mu?
Evet ve bu adım en çok atlanan adımdır: paket güncellendikten sonra PHP-FPM servisinin (ya da Apache kullanıyorsanız Apache'nin) yeniden başlatılması gerekir. Aksi hâlde bellekte çalışmaya devam eden süreçler hâlâ eski ve açık koddur. Yeniden başlatmadan "güncelledik" demek yanıltıcıdır.
Apache mod_php kullanıyorsam risk daha mı yüksek?
Evet. Güvenlik uyarılarında mod_php yapılandırmasının riski artırdığı belirtildi; PHP bu modelde web sunucusunun kendi süreci içinde çalıştığı için bellek sorunlarının etkisi daha geniş olabiliyor. PHP-FPM modeli (her site kendi havuzunda) hem bu açıkta hem genel olarak daha güvenlidir.
Sitem Digital Küre sunucularında barınıyor, ne yapmalıyım?
Bir şey yapmanıza gerek yok. Sunucularımız yamalı PHP sürümüyle çalışıyor, servisler yeniden başlatıldı ve bütünlük taraması yapıldı. Durumla ilgili bir gelişme olursa sizi biz bilgilendiririz.
Güncelleme yapamıyorum, sitem bir süre kapalı mı kalmalı?
ABD Ulusal Güvenlik Ajansı, güncelleyemeyen kurumlara sitelerini geçici olarak kapatmayı önerdi; Almanya, Fransa, Belçika, Hollanda, Finlandiya ve Çekya'da bazı kamu siteleri bu nedenle kapatıldı. Ticari bir site için bu ağır bir karar; önce hosting firmanızdan acil yama talep edin, mümkün değilse siteyi bakım moduna almak kapatmaktan daha ölçülü bir ara çözümdür.
Sitemin daha önce ele geçirilip geçirilmediğini nasıl anlarım?
Beklenmeyen tarihlerde değişmiş PHP dosyaları, public/ dizinine eklenmiş tanımadığınız dosyalar, bilinmeyen cron görevleri ve "eval(base64_decode" gibi kalıplar ilk bakılacak yerlerdir. Erişim kayıtlarında olağan dışı POST istekleri de uyarıcıdır. Şüpheniz varsa siteyi yedekten geri yüklemek yerine önce inceleyin: yedek de etkilenmiş olabilir.
Güncel Tutulan Bir Altyapı İster misiniz?
Digital Küre olarak kurduğumuz siteleri yayına aldıktan sonra da takip ediyoruz: sunucu yamaları, yedekler, izleme ve olay anında müdahale bizim işimiz. Bakım ve barındırma hizmetimiz için teklif alın ya da 0342 606 05 55 numarasından arayın.
