PHP2Shell: siteniz risk altında mı?
İki kritik PHP açığı (CVE-2026-109618 ve CVE-2026-109619), saldırganların giriş yapmadan web sunucularında kendi kodlarını çalıştırmasına izin veriyor. PHP, düzeltmeleri 21 Ekim 2026'da yayınladı ve gerçek saldırılar şimdiden görüldü.
Ücretsiz site kontrolü
Pasif kontrol: ana sayfanıza tek bir normal istek gönderir, yalnızca herkese açık bilgileri (başlıklar, çerezler, platform) okuruz. Hiçbir saldırı denemesi yapılmaz.
Bir bakışta PHP2Shell
- CVE'ler
- CVE-2026-109618 (bellek yetersizliği sırasında bellek bozulması) ve CVE-2026-109619 (istekler arasında kalan durumun serbest bırakıldıktan sonra kullanılması)
- Önem
- PHP projesine göre her biri CVSS v4.0 9.2 (kritik)
- Etki
- Web sunucusunun yetkileriyle, kimlik doğrulaması olmadan uzaktan kod çalıştırma
- Etkilenenler
- Düzeltilmiş sürümlerden önceki PHP 5.4 – 8.5; PHP-FPM, Apache mod_php (en yüksek risk), php-cgi, FrankenPHP ve LiteSpeed
- Düzeltildiği sürümler
- PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 (21 Ekim 2026)
- Durum
- 17 Ekim'den itibaren saldırı girişimleri görüldü. CISA, İngiltere NCSC ve CERT-EU acil güncelleme çağrısı yaptı
Hangi PHP sürümleri etkileniyor?
| PHP sürüm hattı | Durum | Ne yapmalı |
|---|---|---|
| PHP 8.5 | 8.5.12 öncesi etkileniyor | 8.5.12 veya üzerine güncelleyin |
| PHP 8.4 | 8.4.27 öncesi etkileniyor | 8.4.27 veya üzerine güncelleyin |
| PHP 8.3 | 8.3.36 öncesi etkileniyor | 8.3.36 veya üzerine güncelleyin |
| PHP 8.2 | 8.2.35 öncesi etkileniyor | 8.2.35'e güncelleyin (8.2 desteği 31 Aralık 2026'da bitiyor) |
| PHP 7.4 – 8.1 | Etkileniyor, desteği bitti | Resmi sürüm yok, yalnızca kaynak kod yamaları var. Sürüm hattını yükseltin |
| PHP 5.4 – 7.3 | Etkileniyor, desteği bitti | PHP projesinden düzeltme yok. Yükseltin ya da siteyi emekliye ayırın |
Hemen yapmanız gerekenler
- 1
PHP'yi güncelleyin ve tüm işlemleri yeniden başlatın
8.5.12, 8.4.27, 8.3.36 veya 8.2.35'i (ya da Linux dağıtımınızın yamalı paketini) kurun; ardından PHP-FPM, Apache veya LiteSpeed'i yeniden başlatın ki eski bir işlem çalışmaya devam etmesin. Paylaşımlı hostingde güncellemeyi barındırma firmanıza teyit ettirin.
- 2
Bugün güncelleyemiyor musunuz? Kısmi önlemleri uygulayın
PHP'nin bildirisi, riski azaltan ama sunucuyu güvenli hale getirmeyen ayarlar listeliyor. Bunları php.ini veya FPM/Apache yapılandırmasında uygulayın (.user.ini veya ini_set ile değil) ve tüm işlemleri yeniden başlatın. CISA ve İngiltere NCSC, yamalanamayan siteleri çevrim dışı almayı öneriyor.
- 3
PHP 8.1 veya daha eskisini mi kullanıyorsunuz? Çıkış planlayın
Bu sürüm hatları resmi düzeltme almıyor. Eski bir WordPress, Joomla veya özel PHP sitesini büyük PHP sürümleri arasında yükseltmek çoğu zaman eklenti ve temaları bozar; siteyi yönetilen bir platforma taşımak daha hızlı ve güvenli olabilir.
- 4
17 Ekim'den bu yana ele geçirilme belirtilerini kontrol edin
Yükleme klasörlerinde bilinmeyen .php dosyalarını, yeni yönetici kullanıcıları, değişmiş .htaccess dosyalarını ve shell başlatan ya da araç indiren PHP işlemlerini arayın. Bulursanız sunucunun ele geçirildiğini varsayın ve yeniden kurun.
PHP bildirisindeki kısmi önlemler (düzeltme değildir)
; CVE-2026-109618: set where applications can't override it
; (php_admin_value in PHP-FPM pools or Apache)
memory_limit = -1
post_max_size = 8M ; 32M if file uploads are required
; keep upload_max_filesize below post_max_size
; CVE-2026-109619: php.ini or pool config, then restart all workers
session.upload_progress.enabled = 0
; PHP 8.5 only
fatal_error_backtraces = 0Bugün yamalayın. Sonra PHP bakımını geride bırakın.
Acil çözüm PHP'yi güncellemektir. Uzun vadede ise Zotview siteleri, bakımını sizin yapmanız gereken bir PHP sunucusunda çalışmaz: sitenizin adresini yapıştırın, yapay zekâ modelimiz yeniden oluştursun; herhangi bir şeyi değiştirmeden önce önizleme ve taşıma raporu görün.
Dakikalar içinde yapay zekâ ile taşıma
Yapay zekâ modelimiz mevcut sayfalarınızı, hizmetlerinizi, ürünlerinizi ve iletişim bilgilerinizi okur ve modern bir tasarımla yeniden kurar.
Yamalanacak bir şey yok
Barındırma, SSL sertifikaları ve güvenlik güncellemeleri bizde. PHP yok, eklenti yok, FTP yok.
Ücretsiz adres, kendi alan adınız
Hemen ücretsiz adiniz.zotview.com adresinde yayına girin, hazır olduğunuzda kendi alan adınızı bağlayın.
Bir web sitesinden fazlası
Online randevu, formlar, ürünler ve hizmetler hazır gelir; hepsini tek panelden yönetirsiniz.
Ücretsiz deneyin · Kredi kartı gerekmez · Geçiş yapana kadar eski siteniz yayında kalır
PHP2Shell SSS
PHP2Shell nedir?
PHP2Shell, PHP yorumlayıcısındaki iki kritik açığa (CVE-2026-109618 ve CVE-2026-109619) verilen isim. 21 Ekim 2026'da duyuruldu ve yamalandı. İkisi de kimlik doğrulaması yapmamış bir saldırganın web sunucusunda PHP işleminin yetkileriyle kod çalıştırmasına izin verebilir.
Hangi PHP sürümleri etkileniyor?
5.4'ten düzeltilmiş sürümlere kadar tüm PHP sürümleri: 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. PHP 8.1 ve öncesinin desteği bitti ve resmi sürüm almıyor; PHP ekibi yalnızca 7.4, 8.0 ve 8.1 için asgari kaynak kod yamaları yayınladı.
WordPress etkileniyor mu?
WordPress PHP ile çalışır; sunucusu yamalanmamış bir PHP sürümü kullanıyorsa WordPress sitesi de risk altındadır. Açığı bulan araştırma ekiplerinden Calif, WordPress, Drupal, Joomla ve Magento'nun belirli sürümlerine karşı giriş gerektirmeyen kod çalıştırmayı doğruladığını bildiriyor. WordPress eklentilerini güncellemek PHP'yi düzeltmez; sunucudaki PHP güncellenmelidir.
Sunucum PHP 8.1.2-ubuntu diyor. Risk altında mıyım?
Olmayabilirsiniz. Ubuntu, Debian ve RHEL gibi Linux dağıtımları güvenlik düzeltmelerini PHP sürüm numarasını değiştirmeden ekler. Dağıtımınızın güvenlik bildirimini kontrol edin; yamalı php paketinin kurulu olduğundan ve tüm PHP işlemlerinin yeniden başlatıldığından emin olun.
Cloudflare veya WAF beni korur mu?
Yardımcı olur. Cloudflare bilinen saldırı kalıpları için ücretsiz plan dahil WAF kuralları yayınladı. Ancak hem PHP projesi hem Cloudflare bunu ara çözüm olarak tanımlıyor: yalnızca WAF'tan geçen trafik filtrelenir ve yeni varyantlar gözden kaçabilir. Tek tam çözüm PHP'yi güncellemektir.
Ücretsiz kontrol nasıl çalışıyor?
Ana sayfanıza bir tarayıcı ziyaretiyle aynı, tek bir normal istek göndeririz ve yanıtın herkese açık olarak gösterdiklerini okuruz: X-Powered-By başlığı, oturum çerezleri, .php bağlantıları ve platform izleri. Hiçbir saldırı yükü göndermeyiz; sunucunuzun gizlediği sürümleri göremeyiz.
Zotview sitemi benim yerime taşıyabilir mi?
Evet. Siteniz açıksa önce PHP'yi yamalayın, ardından taşıma sayfasına sitenizin adresini girin; yapay zekâ modelimiz içeriğinizi Zotview'da yeniden oluştursun: sayfalar, hizmetler, ürünler, iletişim bilgileri ve görseller. Hemen ücretsiz bir zotview.com adresi ve neyin taşındığını gösteren bir rapor alırsınız; kendi alan adınızı istediğiniz zaman bağlayın.
Kaynaklar
- PHP: Security advisory – Critical remote code execution vulnerabilities, update now
- GitHub advisory GHSA-w8hw-w9fx-j79w (CVE-2026-109618)
- GitHub advisory GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)
- CISA: Critical Vulnerabilities in PHP Require Immediate Patching
- Tenable: PHP2Shell frequently asked questions
- Rapid7: CVE-2026-109618 and CVE-2026-109619 analysis
Son güncelleme 22 Ekim 2026. PHP projesi ve güvenlik kurumları yeni bilgi yayınladıkça bu sayfayı güncelliyoruz.