PHP açığı nedir? PHP2Shell kritik açığı nasıl kapatılır?

PHP açığı nedir, ne anlama geliyor?

PHP açığı, PHP ile çalışan bir web sitesinde saldırganın yetkisi olmayan bir işi yapmasına izin veren güvenlik hatası demek. PHP ("PHP: Hypertext Preprocessor"), sunucu tarafında çalışan açık kaynaklı bir programlama dili. Ziyaretçi bir sayfayı açtığında kod sunucuda çalışır, tarayıcıya hazır HTML gönderilir. W3Techs verilerine göre (22 Ekim 2026) PHP, sunucu dili bilinen sitelerin yüzde 69,3'ünde kullanılıyor. Aynı veriye göre PHP sitelerinin yüzde 26,9'u hâlâ sürüm 7'de, yüzde 7,7'si sürüm 5'te; yani üçte birinden fazlası yıllardır desteklenmeyen sürümlerde çalışıyor. WordPress de tüm sitelerin yaklaşık yüzde 40'ını çalıştıran bir PHP uygulaması.

Bu yaygınlık, tek bir çekirdek açığının aynı anda milyonlarca sunucuyu riske atması anlamına geliyor. Saldırganlar için ise "bir exploit, milyonlarca hedef" demek.

"PHP açığı" denince üç farklı şey kastedilebilir

1. PHP çekirdeğindeki açıklar. PHP'nin kendisinde bulunan hatalar. Sitenin kodu kusursuz olsa bile site etkilenir. PHP2Shell ve 2024'teki CVE-2024-4577 bu türden.
2. PHP tabanlı platform açıkları. WordPress eklentileri, Magento/Adobe Commerce, Drupal, Joomla, Laravel gibi yazılımlardaki hatalar. 2025'te Magento'yu vuran SessionReaper bunun örneği.
3. Sitenin kendi kodundaki hatalar. Geliştiricinin yazdığı koddan kaynaklanan klasik web zafiyetleri.

En yaygın PHP açığı türleri

Saldırganlar açığı pratikte nasıl kullanır?

Önce otomatik tarayıcılarla sürüm bilgisini toplarlar; X-Powered-By başlığı ve unutulmuş phpinfo sayfaları en kolay kaynaklardır. Ardından hazır exploit ile sunucuya webshell yükler, fidye yazılımı bırakır ya da veritabanını sızdırırlar. 2024'teki CVE-2024-4577 dalgasında saldırganlar bu yolla TellYouThePass fidye yazılımını dağıtmıştı.

PHP2Shell nedir?

PHP2Shell, PHP çekirdeğinde bulunan ve 21 Ekim 2026'da kapatılan iki kritik uzaktan kod çalıştırma açığına verilen ortak ad. İki açık da kimlik doğrulaması gerektirmiyor; yani saldırganın sitede hesabı olmasına gerek yok. Açıkları Calif, Wiz Research ve OpenAI Codex Security buldu. Calif sorunu PHP ekibine 11 Ağustos 2026'da bildirdi.

Sızıntıda dolaşan "10.0" puanı resmî değil. NVD, her iki açığa CVSS v3.1 ölçeğinde 9,8 veriyor. En yüksek risk Apache mod_php kullanan sunucularda; burada uygulama kodu hiç çalışmadan tetiklenen bir exploit gösterildi.

Sızıntıdan yamaya: olay nasıl gelişti?

Kaynaklar: PHP Foundation, SecurityWeek, Google Cloud/Wiz.

Hangi PHP sürümleri etkileniyor?

PHP 5.4'ten 8.5.11'e kadar her sürüm etkileniyor. Düzeltme yalnızca desteklenen dallar için yayımlandı; PHP 8.1 ve öncesi için resmî sürüm yok.

PHP 8.6.0 RC4 de düzeltmeyi içeriyor; 8.6'nın 19 Kasım 2026'da çıkması planlanıyor. Dağıtım paketleri de güncellendi: AlmaLinux 8/9/10, Ubuntu (USN-8948-2), Fedora, Arch ve Alpine.

Etkilenen çalışma ortamları, php.net'in ifadesiyle web isteği sunan tüm PHP kurulumları: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed. Yalnızca komut satırında (CLI) çalışan betikler web üzerinden ulaşılabilir değilse doğrudan risk altında değil.

PHP2Shell açığı istismar ediliyor mu?

Yaygın tarama ve saldırı denemeleri kesin; başarılı ve kitlesel ele geçirme ise resmî kurumlarca henüz doğrulanmadı. Bu konuda kaynaklar birbirinden farklı konuşuyor:

Censys'e göre 21 Ekim'de internete açık 2,58 milyon PHP sunucusu görüldü. Bunların yaklaşık 1,58 milyonu tanımlanabilir sürüm bildiriyordu ve bu sunucuların yaklaşık 1,57 milyonu yamasızdı (SecurityWeek).

Dünyada tedbir olarak kapatılan servisler de var: Hollanda'da DigiD ve MijnOverheid, Norveç'te Dijitalleşme Müdürlüğü sitesi ve Feide geçici olarak devre dışı bırakıldı. Finlandiya, Danimarka ve Belçika'da kamu siteleri kapatıldı ya da kapatılması önerildi. NSA, hemen güncelleyemeyen kurumlara sistemi çevrim dışı almayı önerdi.

Türkiye'de ne yapılıyor? Siber Güvenlik Başkanlığı uyardı

Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, 21 Ekim 2026'da "TR-26-1372 (PHP Programlama Dili Güvenlik Bildirimi)" numaralı duyuruyu yayımladı ve ulusal çapta tarama başlattı. AA'ya göre Başkanlık, SOME İletişim Platformu üzerinden tüm kurum ve kuruluşlara ile kritik altyapılara acil güvenlik duyurusu iletti; sistem yöneticilerinden internete açık altyapılarını gözden geçirmeleri ve güncellemeleri ivedilikle uygulamaları istendi.

Bildirimdeki önlemler, basına yansıdığı kadarıyla üç başlıkta toplanıyor:

• Güvenli PHP sürümlerine geçiş.
• Yönetim arayüzlerine erişimin yalnızca güvenilir IP adreslerine açılması.
• Yurt dışından erişim gerektirmeyen sistemlerin uluslararası trafiğe kapatılması.

e-Devlet'te sorun yok. Başkanlık 22 Ekim'de e-Devlet Kapısı'ndaki güvenlik kontrollerinin tamamlandığını ve herhangi bir sorun bulunmadığını açıkladı. 69 milyonu aşkın kullanıcıya hizmetin güvenli ve kesintisiz sürdüğü bildirildi.

Hosting firmaları harekete geçti. Türk hosting şirketleri 21–22 Ekim'de müşterilerini bilgilendirmeye ve geçici yapılandırma değişikliklerine başladı. Örneğin Veridyen, cPanel/CloudLinux kullanıcıları için session.upload_progress ayarını kapatmayı anlatan bir rehber yayımladı. Paylaşımlı hosting kullanıyorsanız güncellemeyi sizin değil, firmanın yapması gerekiyor; aşağıdaki hazır soruyu kullanabilirsiniz.

142 bin kişinin bilgileri sızdırıldı: Türkiye'de 10 kurumun verileri çalındı

İçeriği Görüntüle

PHP güvenlik açığı nasıl kapatılır? 7 adımda rehber

Tek kalıcı çözüm PHP'yi güncelleyip PHP servislerini yeniden başlatmak. php.net'in kendi ifadesiyle geçici önlemler kurulumu güvenli hale getirmiyor; "tam bir hafifletme yok, güncelleme tek güvenli seçenek".

1. Sitenizin gerçekten hangi PHP sürümünü çalıştırdığını öğrenin

• Hosting panelinde (cPanel, Plesk, DirectAdmin) "PHP Sürümü" veya "MultiPHP" ekranına bakın.
• WordPress'te: Araçlar > Site Sağlığı > Bilgi > Sunucu.
• Sunucuda php -v komutunu çalıştırın. Dikkat: Bu komut komut satırı (CLI) sürümünü gösterir; web sitenizin kullandığı PHP-FPM veya mod_php sürümü farklı olabilir.
• Web tarafını doğrulamak için geçici bir phpinfo() sayfası açın, sürümü okuyun ve sayfayı hemen silin.

2. PHP'yi düzeltilmiş sürüme yükseltin

8.5.12, 8.4.27, 8.3.36 ya da 8.2.35 veya üstüne geçin. Linux dağıtımlarında paket yöneticisini kullanın (apt, dnf, apk); AlmaLinux, Ubuntu, Fedora, Arch ve Alpine güncel paketleri yayımladı.

3. PHP servislerini yeniden başlatın

Apache, PHP-FPM ve uzun süre çalışan PHP işçilerini (FrankenPHP, LiteSpeed, Swoole vb.) yeniden başlatın. Aksi halde eski kod bellekte çalışmaya devam eder ve güncelleme etkisiz kalır.

4. Paylaşımlı hosting kullanıyorsanız firmanıza yazılı sorun

Hazır metin: "21 Ekim 2026 tarihli PHP güvenlik güncellemeleri (8.5.12 / 8.4.27 / 8.3.36 / 8.2.35) sunucuya uygulandı ve PHP-FPM/Apache servisleri yeniden başlatıldı mı? Hangi PHP sürümünü çalıştırıyoruz?"

5. PHP 8.1 veya daha eski sürümdeyseniz

Dağıtımınızın ya da LTS sağlayıcınızın (Red Hat 7.4 backport'u, HeroDevs vb.) yamasını uygulayın. Kalıcı çözüm, önce test ortamında PHP 8.3 veya 8.4'e geçmek.

6. Hemen güncelleyemiyorsanız geçici önlemleri uygulayın

Bunlar riski azaltır ama açığı kapatmaz:

• CVE-2026-109619 için session.upload_progress.enabled=0 ayarını yapın ve tüm işçileri yeniden başlatın. ini_set() ve .user.ini bu ayar için çalışmaz; php.ini veya php_admin_value gerekir. PHP 8.5'te ayrıca fatal_error_backtraces=0 ayarlayın.
• CVE-2026-109618 için memory_limit=-1 değerini uygulamanın değiştiremeyeceği biçimde (php_admin_value) ayarlayın; post_max_size değerini yükleme yoksa 8M, varsa 32M'ye düşürün; web sunucusunda istek boyutu, başlık ve multipart limitleri koyun.
• WAF kurallarını devreye alın; Cloudflare varsayılan korumayı açtı.
• Yönetim panellerine erişimi IP ile kısıtlayın.
• CISA ve NSA'nın önerdiği gibi, güncellenemeyen kritik sistemleri geçici olarak çevrim dışı almayı değerlendirin.

7. Ele geçirme izi arayın ve kalıcı sıkılaştırma yapın

17 Ekim'den bu yana logları tarayın: PHP veya web sunucusu süreçlerinin kabuk, yorumlayıcı ya da indirme aracı başlatması; komut satırlarında /dev/tcp/, fsockopen, mkfifo geçmesi; son günlerde eklenmiş PHP dosyaları (webshell) ve yeni yönetici hesapları. CVE-2026-109619 bellek sızdırabildiği için sızmış olabilecek parola, API anahtarı ve sertifikaları yenileyin.

Kalıcı sıkılaştırma için: expose_php=Off, allow_url_include=Off, open_basedir tanımı, disable_functions ile exec, shell_exec, system, passthru, proc_open fonksiyonlarının kapatılması, veritabanında hazırlanmış ifadeler (PDO), girdi doğrulama ve çıktı kaçışlama. Tarama için composer audit, Wordfence veya Patchstack (WordPress), Snyk, Qualys (QID 389102/39033), Tenable ve runZero kullanılabilir. Resmî takip kaynakları: php.net/security, NVD ve CISA KEV.

WordPress siteleri ne yapmalı? WordPress PHP açığı

WordPress'i, temayı veya eklentileri güncellemek PHP2Shell'i kapatmaz. Açık WordPress'te değil, WordPress'i çalıştıran PHP'nin kendisinde. Araştırmacılar açığı WordPress, Drupal ve Joomla'da giriş yapmadan uzaktan kod çalıştırma ile gösterdi.

1. WordPress yönetim panelinde Araçlar > Site Sağlığı > Bilgi > Sunucu yolundan PHP sürümünü okuyun.
2. Sürüm 8.5.12, 8.4.27, 8.3.36 veya 8.2.35'in altındaysa hosting panelinden sürümü değiştirin ya da firmanıza yazın.
3. Güncelleme sonrası siteyi test edin; PHP 7.x'ten 8.x'e geçişte eski eklentiler hata verebilir, önce yedek alın.
4. Wordfence veya Patchstack gibi bir güvenlik eklentisiyle son günlerde eklenen PHP dosyalarını ve yeni yönetici hesaplarını tarayın.
5. WordPress eklentilerini de güncel tutun; PHP2Shell'den bağımsız olarak eklenti açıkları WordPress saldırılarının ana kaynağı olmayı sürdürüyor.

Eski PHP sürümü kullananlar için risk

PHP 8.1 kullanan siteler için resmî düzeltme yok; 8.2 kullananların ise 10 haftadan az süresi kaldı. PHP 8.2'nin güvenlik desteği 31 Aralık 2026'da bitiyor ve php.net'e göre bu tarihten sonra güvenlik düzeltmesi yayımlanmayacak.

W3Techs verisine göre PHP sitelerinin yüzde 34,6'sı hâlâ 7.x veya 5.x dallarında. Bu siteler için PHP2Shell'den önce de düzeltilmemiş onlarca açık vardı; CVE-2024-4577 gibi geçmiş açıklar da destek dışı sürümlerde kapatılmadı. Eski sürümde kalmanın tek güvenli yolu, HeroDevs veya Red Hat gibi ücretli LTS desteği; aksi halde plan, test ortamında 8.3 veya 8.4'e geçiş olmalı.

Geçmişteki büyük PHP açıkları

PHP2Shell, son üç yılın en geniş kapsamlı PHP açığı; ancak ilk değil. Geçmiş örnekler, yamasız sunucuların kaç gün içinde hedef alındığını gösteriyor.

Ortak ders: Her üç büyük olayda da yamadan sonraki ilk günler ve haftalar belirleyici oldu. SessionReaper'da mağazaların yüzde 62'si altı hafta sonra bile yamasızdı.

Sık sorulan sorular

PHP nedir, ne işe yarar? PHP, web sitelerinin sunucu tarafında çalışan açık kaynaklı bir programlama dili. WordPress, Drupal, Joomla, Magento ve Laravel gibi platformlar PHP ile yazıldı. Sunucu dili bilinen sitelerin yüzde 69,3'ü PHP kullanıyor.

PHP2Shell açığı telefonumu veya bilgisayarımı etkiler mi? Hayır. Açık web sunucularını etkiliyor; ziyaretçinin cihazını değil. Ancak ziyaret ettiğiniz bir site ele geçirilirse oraya girdiğiniz veriler risk altına girebilir.

Sitemin PHP sürümünü nasıl öğrenirim? Hosting panelindeki PHP ayarlarından, WordPress'te Araçlar > Site Sağlığı > Bilgi > Sunucu yolundan ya da sunucuda php -v komutuyla. php -v yalnızca komut satırı sürümünü gösterir; web tarafı için phpinfo() ile doğrulayıp sayfayı silin.

WordPress'i güncellemek yeterli mi? Hayır. Açık WordPress'te değil PHP'de. WordPress'i güncelleseniz de sunucudaki PHP eski kaldığı sürece site savunmasız.

PHP 8.1 kullanıyorum, ne yapmalıyım? 8.1 için resmî sürüm yok. Dağıtımınızın veya LTS sağlayıcınızın yamasını uygulayın, geçici önlemleri açın ve en kısa sürede 8.3 veya 8.4'e geçin.

Açık istismar ediliyor mu? Tarama ve saldırı denemeleri doğrulandı; Amazon 17 Ekim'den itibaren denemeler kaydetti. CISA ise 21 Ekim itibarıyla istismar gözlemlemediğini açıkladı. Başarılı kitlesel ele geçirme henüz resmî olarak doğrulanmadı.

e-Devlet etkilendi mi? Hayır. Siber Güvenlik Başkanlığı 22 Ekim'de e-Devlet Kapısı'ndaki kontrollerin tamamlandığını ve sorun bulunmadığını açıkladı.

Hosting firmama ne sormalıyım? "21 Ekim 2026 tarihli PHP güvenlik güncellemeleri sunucuya uygulandı ve PHP servisleri yeniden başlatıldı mı? Sitem hangi PHP sürümünde çalışıyor?"