Dünyadaki web sitelerinin büyük bölümünün altyapısında çalışan PHP’de, saldırganların oturum açmadan sunucularda kötü amaçlı kod çalıştırmasına imkân tanıyabilecek iki kritik güvenlik açığı tespit edildi. PHP geliştirici ekibi 21 Ekim 2026’da yayımladığı acil güvenlik sürümleriyle açıkları kapattı ve tüm kullanıcıları vakit kaybetmeden güncelleme yapmaya çağırdı. Ekibin duyurusuna göre tam koruma sağlayan bir geçici önlem bulunmuyor; tek güvenli yol güncellemek.
“php2shell” olarak anılan iki açık
Güvenlik çevrelerinde “php2shell” adıyla anılan açıklar, CVSS 4.0 ölçeğinde 9,2 puanla “kritik” seviyede değerlendirildi:
- CVE-2026-109618: Bir istek PHP’nin bellek sınırına (memory_limit) tam yanlış anda ulaştığında, yarım kalan iç veriler daha sonra geçerliymiş gibi kullanılabiliyor ve bellek bozulmasına yol açıyor. PHP Vakfı’nın açıklamasına göre Apache ve mod_php kullanan sistemlerde, kimlik doğrulaması olmayan bir istek bu durumu uygulama kodu çalışmadan önce tetikleyebiliyor; varsayılan ayarlarla uzaktan kod çalıştırma gösterildi. PHP-FPM’de de uygulama düzeyindeki kod yolları üzerinden uzaktan kod çalıştırma doğrulandı.
- CVE-2026-109619: Yanlış noktada oluşan ölümcül bir hata, iç durumun önceki isteğe ait belleği göstermeye devam etmesine neden olabiliyor. Aynı işçi süreç tarafından işlenen sonraki bir istek, serbest bırakılmış bu belleği kullanabiliyor (use-after-free). Açığı bildiren araştırmacı, mod_php ile çalışan gerçek bir uygulamada uzaktan kod çalıştırmayı gösterdi.
Her iki sorun da neredeyse her isteğin dokunduğu bellek yönetimi ve hata işleme bileşenlerinde yer alıyor. Açıkların 2004’ten bu yana yayımlanan PHP sürümlerini etkilediği belirtiliyor; bu da sorunun ölçeğini gözler önüne seriyor.
Hangi sürümlere geçilmeli?
- PHP 8.5 kullananlar: 8.5.12
- PHP 8.4 kullananlar: 8.4.27
- PHP 8.3 kullananlar: 8.3.36
- PHP 8.2 kullananlar: 8.2.35
- PHP 8.1 ve öncesi: Destek süresi dolduğu için resmî yama yayımlanmayacak; desteklenen bir sürüme geçiş gerekiyor.
Linux dağıtımlarında güvenlik düzeltmeleri mevcut paket sürümlerine geri taşınabildiği için sürüm numarasının değişmemesi yamanın eksik olduğu anlamına gelmiyor. Belirleyici olan, dağıtımın güvenlik bülteninde yamalı olarak işaretlenen paket sürümü.
Resmî kurumlardan “hemen yamalayın” çağrısı
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), kurumları açıkları derhâl kapatmaya çağırdı. Ajans, yayım anı itibarıyla aktif istismar gözlemlemediğini ancak yamalanmayan sistemlerin ciddi risk taşıdığını vurguladı. CISA, hemen güncelleme yapamayan ya da PHP 8.1 ve daha eski sürümleri kullanmaya devam eden kurumlara, ilgili sistemleri yamalanana kadar çevrim dışı almalarını tavsiye etti. İsviçre Ulusal Siber Güvenlik Merkezi de yalnızca herkese açık web sitelerinin değil, PHP’yi arka planda kullanan yönetim panellerinin, kurum içi uygulamaların, konteynerlerin ve cihazların da kontrol edilmesi gerektiğini hatırlattı.
Site sahipleri ve sistem yöneticileri ne yapmalı?
- Envanter çıkarın: PHP çalışan tüm sistemleri ve kullanılan sürümleri belirleyin. PHP, başka yazılımların içinde gömülü olarak da çalışıyor olabilir.
- Hemen güncelleyin: İnternete açık sistemlere öncelik verin. Paylaşımlı hosting kullanıyorsanız panelinizden PHP sürümünü kontrol edin ve sağlayıcınızdan yamanın uygulandığına dair teyit isteyin.
- Servisleri yeniden başlatın: Güncellemeden sonra PHP-FPM, Apache gibi sürekli çalışan süreçleri yeniden başlatın; konteyner imajlarını yeniden oluşturup dağıtın.
- Doğrulayın: Çalışan uygulamanın gerçekten yamalı sürümü kullandığını kontrol edin.
- Kayıtları inceleyin: Olağan dışı istekler, çökmeler, değişmiş dosyalar ve PHP işçi süreçlerinin kabuk açması ya da araç indirmesi gibi şüpheli hareketlere karşı logları gözden geçirin. Güncelleme, daha önce gerçekleşmiş bir sızmayı ortadan kaldırmaz.
Hemen güncelleme mümkün değilse erişimi yalnızca gerçekten ihtiyaç duyan kişi ve sistemlerle sınırlamak, web uygulama güvenlik duvarı kullanmak, PHP yükleme ilerleme çubuğunu (upload progress) devre dışı bırakmak ve uygun olan ortamlarda multipart istekleri sunucu ya da vekil sunucu düzeyinde engellemek geçici önlemler olarak öneriliyor. Ancak bu adımlar yalnızca bazı saldırı yollarını daraltıyor, tam koruma sağlamıyor.
Türkiye’deki siteler için ne anlama geliyor?
WordPress başta olmak üzere pek çok içerik yönetim sistemi, e-ticaret altyapısı ve kurumsal uygulama PHP üzerinde çalışıyor. Türkiye’de de kişisel bloglardan KOBİ sitelerine, belediye ve okul portallarından e-ticaret mağazalarına kadar çok sayıda sistem bu açıktan etkilenebilecek durumda. Özellikle uzun süredir güncellenmemiş, PHP 7.x ya da 8.0–8.1 ile çalışan siteler için tablo daha ciddi: Bu sürümler resmî yama almayacağı için desteklenen bir sürüme geçiş artık ertelenemez bir zorunluluk hâline geldi.
Uzmanlar, açıklarla ilgili teknik ayrıntıların kamuoyuyla paylaşılmasının ardından istismar girişimlerinin hızla artabileceği konusunda uyarıyor. Bu nedenle site sahiplerinin güncellemeyi bugünden yapması ve hosting sağlayıcılarının yamalı sürümleri müşterilerine sunup sunmadığını kontrol etmesi büyük önem taşıyor.
