PHP2Shell: Şirketlerin kritik PHP açığı hakkında şimdi bilmesi gerekenler

PHP2Shell, programlama dili PHP’deki iki kritik güvenlik açığının adıdır (CVE-2026-109618 ve CVE-2026-109619); bunlar 21 Ekim 2026 tarihinde yayımlandı. Bunlar üzerinden saldırganlar, oturum açmadan ve bir kullanıcı müdahalesi olmadan web sunucularında zararlı kod çalıştırabilir. BSI durumu Uyarı seviyesi 3/Turuncu olarak sınıflandırıyor: önlemler derhal alınmalıdır. Etkili koruma yalnızca yamalanmış bir PHP sürümüne güncelleme ile sağlanır.

PHP, internetin büyük bir bölümünün arkasında yer alır: WordPress, TYPO3, Joomla, Drupal, Shopware ve Magento’nun yanı sıra güvenlik duvarlarının, yönlendiricilerin ve ağ depolama sistemlerinin web arayüzlerinin arkasında da. Bu nedenle PHP2Shell yalnızca BT departmanlarını değil, kendi web sitesi olan hemen hemen her şirketi etkiler. Bu yazı, ne olduğunu ve şimdi ne yapmanız gerektiğini özetler. Durum: 24 Ekim 2026.

Ne oldu?

20 Ekim’de PHP geliştiricileri, ayrıntılar önceden ortaya çıktıktan sonra kritik bir güvenlik güncellemesini kısa sürede duyurdu. 21 Ekim’de yamalar ve teknik açıklamalar yayımlandı. Amazon Threat Intelligence’a göre, yayınlanmadan önce, yani 17 Ekim’de bile bir saldırı girişimi olmuştu. Açıklar, diğerlerinin yanı sıra güvenlik şirketi Calif tarafından OpenAI ile bir proje kapsamında ve bundan bağımsız olarak Wiz tarafından keşfedildi; her iki durumda da yapay zekâ modellerinin desteğiyle.

En önemli bilgiler

Kimler etkileniyor?

• PHP tabanlı web siteleri ve mağazalar örneğin WordPress, TYPO3, Joomla, Drupal veya Shopware – CMS’nin kendisinin güncel olup olmamasından bağımsız olarak. Belirleyici olan, sunucudaki PHP sürümüdür.
• Barındırılan web siteleri: Shared Hosting ve yönetilen sunucularda PHP güncellemesinden genellikle hosting sağlayıcısı sorumludur. Sorun.
• Kendi sunucuları ve container’lar: Kendi işletimini yapanlar PHP’yi güncellemek ve Docker image’larını yeniden oluşturmak zorundadır.
• Web arayüzüne sahip cihazlar: BSI’ye göre, diğerlerinin yanı sıra F5, Citrix NetScaler, Palo Alto, OPNsense, pfSense, QNAP, Synology ve cPanel ürünleri en azından kısmen etkilenmiştir. Burada yalnızca üreticilerin firmware güncellemeleri yardımcı olur.

Şimdi yapmanız gerekenler

1. Envanter çıkarma: Hangi web sitelerini, mağazaları, sunucuları ve web arayüzüne sahip cihazları işletiyorsunuz? Diğer yazılımların bir parçası olarak kullanılan PHP de buna dahildir.
2. PHP sürümünü kontrol edin ve yamalı bir sürüme güncellemek. Bunun nasıl yapılacağını Web sitem etkilenmiş mi?.
3. Barındırma sağlayıcısına ve hizmet sağlayıcılara sorun, güncellemelerin uygulanıp uygulanmadığını yazılı olarak, sürüm numarasıyla birlikte.
4. Cihazların firmware’ini güncelleyin,Üreticiler güncellemeleri sağladığı anda.
5. Güncelleme mümkün değilse: BSI, geçici olarak internet bağlantısının kesilmesini değerlendirmeyi önerir; çünkü geçici çözümler tam koruma sağlamaz.
6. Bir saldırının izlerini kontrol edin, örneğin yeni PHP dosyaları veya olağandışı süreçler. Ayrıntılar Web sitesi hacklendi mi?.

Neden bu kez bu kadar hızlı oluyor

BSI, saldırganların yapay zekâ destekli araçlarla yamaları bugün kısa sürede analiz edip bunlardan saldırılar geliştirebildiğine dikkat çekiyor. Kurum, yamaların yayımlanmasından sonraki birkaç saat içinde yaygın bir istismarın muhtemel olduğunu değerlendiriyor. Böylece yayın ile saldırı arasındaki süre kısalıyor. Güncellemeleri “önümüzdeki haftalarda bir ara” yapmak artık yeterli değil.

Bir Web Application Firewall yeterli değildir

Cloudflare gibi sağlayıcılar bilinen saldırı yollarına karşı kurallar yayımladı. Bir Web Application Firewall (WAF) saldırıları zorlaştırabilir, ancak BSI ve ABD kurumu CISA’ya göre bir güncellemenin yerini tutmaz. Tam koruma yalnızca yamalama veya internetten ayırma ile sağlanır.

Web sitenizin, online mağazanızın veya cihazlarınızın etkilenip etkilenmediğinden emin değil misiniz? Bizimle iletişime geçin. Sistemlerinizi kontrol ediyor, güncellemeleri uyguluyor ve dürüstçe ne yapılması gerektiğini söylüyoruz – her şeyin yolunda olduğu ortaya çıksa bile. Başlangıç için bir kısa görüşme.

Sıkça sorulan sorular

PHP2Shell nedir?

PHP2Shell, PHP’deki iki kritik güvenlik açığının adıdır (CVE-2026-109618 ve CVE-2026-109619). Saldırganların, kimlik doğrulaması olmadan PHP çalışan web sunucularında zararlı kod çalıştırmasına olanak tanırlar. Ad, bilinen Log4Shell açığına gönderme yapar.

Hangi PHP sürümleri güvenli?

Yamalanmış sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35’tir. Artık desteklenmeyen 7.4, 8.0 ve 8.1 sürümleri için backport yamaları mevcuttur; Linux dağıtımları kısmen kendi geri taşınmış güncellemelerini sunar.

WordPress sitem etkilenmiş mi?

Yamalanmamış PHP çalışan bir sunucuda çalışıyorsa, evet. Yalnızca bir WordPress güncellemesi yeterli değildir; çünkü açık PHP’nin kendisindedir. Belirleyici olan, hosting sağlayıcınızın PHP’yi güncelleyip güncellemediğidir.

Hosting sağlayıcım ilgilenirse yeterli mi?

Shared Hosting’de genellikle sorumluluk hosting sağlayıcısındadır. Yine de güncellemelerin yüklendiğini size teyit ettirin ve ayrıca kendi sunucularınızı veya web arayüzüne sahip cihazlarınızı işletip işletmediğinizi kontrol edin.

Güncel durum: 24 Ekim 2026. Kaynaklar: BSI’nin PHP2Shell için güvenlik uyarısı, CISA.