# PHP2Shell açığı kapandı. Sistemlerimiz aynı gün güncellendi.

Kaynak: https://www.globya.com.tr/blog/php2shell-php-guvenlik-acigi
Tarih: 2026-10-21

> 21 Ekim 2026'da PHP'de, web sitelerinin büyük kısmını doğrudan etkileyen iki kritik açık duyuruldu ve aynı gün yamalandı. Açığın ne olduğunu sade bir dille anlatıyor, Globya olarak sunucularımızda ve müşterilerimizin sistemlerinde neler yaptığımızı paylaşıyoruz.

İnternetteki web sitelerinin büyük bölümü PHP ile çalışıyor: WordPress, WooCommerce, Laravel uygulamaları, kurumsal siteler, B2B portallar, e-ticaret altyapıları. 21 Ekim 2026'da bu dilin kendisinde, yani üzerine kurulan her uygulamanın altında duran motorda, iki kritik güvenlik açığı duyuruldu. Güvenlik dünyası bu ikiliye **PHP2Shell** adını verdi.

Önce en önemli bilgiyi verelim: **Globya'nın yönettiği sunucularda PHP, yamanın yayımlandığı gün güncel sürüme yükseltildi.** Barındırma ve bakımını üstlendiğimiz müşteri sistemleri de aynı kontrol listesiyle güncellendi ve izlemeye alındı. Aşağıda açığın ne olduğunu, neden bu kadar ciddiye alındığını ve bizim nasıl aksiyon aldığımızı anlatıyoruz.

## PHP2Shell nedir?

PHP2Shell, PHP'nin çekirdeğinde bulunan iki ayrı açığın ortak adıdır. Ad resmî değildir; açığın kamuya erken sızan bir istismar aracının ekran görüntüsünden yayıldı.

| | CVE-2026-109618 | CVE-2026-109619 |
|---|---|---|
| Türü | Uzaktan kod çalıştırma (RCE) | Uzaktan kod çalıştırma (RCE) |
| Kaynağı | Bellek sınırına ulaşıldığında (out-of-memory) yarım kalan istek verisinin temizlik sırasında geçerli sanılması | Bir isteğe ait iç durumun, belleği serbest bırakıldıktan sonra aynı işçi süreçte sonraki isteğe taşınması |
| Önem derecesi | CVSS v4.0: 9.2 (Kritik) | CVSS v4.0: 9.2 (Kritik) |
| Kimlik doğrulama | Gerekmiyor | Gerekmiyor |

Sade anlatımla: saldırganın hiçbir kullanıcı adı ya da şifreye ihtiyacı yok. Sunucuya özel hazırlanmış istekler göndererek PHP'nin bellek yönetimindeki bir hatayı tetikleyebiliyor ve sunucuda kendi kodunu çalıştırabiliyor. Raporlara göre saldırı, **uygulamanın kendi kodu daha çalışmaya başlamadan** gerçekleşebiliyor. Bu yüzden sitenizin ne kadar güvenli yazıldığı, hangi eklentileri kullandığı ya da güvenlik eklentisi kurulu olup olmadığı tek başına koruma sağlamıyor; sorun altyapının kendisinde.

## Neden bu kadar ciddi?

- **Etki alanı çok geniş.** PHP-FPM, Apache mod_php, php-cgi, LiteSpeed ve FrankenPHP gibi web isteği karşılayan tüm yaygın kurulum türleri etkileniyor. Bazı araştırmacılar etkilenen sürümlerin PHP 5'e kadar uzandığını söylüyor; bu kapsam resmî duyuruda henüz teyit edilmiş değil.
- **Bilgiler planlanandan önce sızdı.** Açığın 22 Ekim'de duyurulması planlanıyordu, ancak ayrıntılar bir gün önce internete yayıldı. PHP ekibi yamayı acil olarak öne çekti.
- **Hazır istismar kodları ortada.** Hollanda Ulusal Siber Güvenlik Merkezi (NCSC-NL) çok sayıda herkese açık kavram kanıtı (PoC) kodu bulunduğunu ve kısa sürede geniş çaplı saldırı beklediğini açıkladı. Bazı güvenlik firmaları bal küpü ağlarında ilk saldırı denemelerini gördüklerini bildirdi.
- **Eski sürümlere yama gelmiyor.** Resmî düzeltme yalnız desteklenen dört sürüm dalına yayımlandı. PHP 8.1 ve öncesi, PHP 7 ve PHP 5 kullanan siteler için resmî bir güncelleme yok.

Bir sunucuda kod çalıştırabilen saldırgan veritabanındaki müşteri bilgilerine ulaşabilir, siteye zararlı yazılım yerleştirebilir, sunucuyu spam ya da saldırı aracı olarak kullanabilir. KVKK açısından bu, doğrudan bir **veri ihlali** riski demektir.

## Hangi sürümler güvenli?

| PHP dalı | Güvenli sürüm | Durum |
|---|---|---|
| 8.5 | 8.5.12 ve üzeri | Yamalandı |
| 8.4 | 8.4.27 ve üzeri | Yamalandı |
| 8.3 | 8.3.36 ve üzeri | Yamalandı |
| 8.2 | 8.2.35 ve üzeri | Yamalandı |
| 8.1, 8.0, 7.x, 5.x | Resmî yama yok | Desteklenen bir sürüme geçilmeli |

Kaynak koddan derleyenler için PHP 7.4, 8.0 ve 8.1'e yönelik küçük geri taşıma yamaları paylaşıldı; ancak kalıcı çözüm desteklenen bir sürüme geçmektir. İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), hemen güncellenemeyen sistemlerin güncellenene kadar çevrim dışı alınmasını öneriyor.

## Globya olarak ne yaptık?

Bu tür bir açıkta zaman en önemli değişkendir. Duyurudan sonraki ilk saatlerde şu adımları tamamladık:

1. **Sunucularımızda PHP'yi yükselttik.** Globya'nın sitelerini, Glommand yönetim panelini, müşteri portalını ve barındırdığımız siteleri çalıştıran PHP sürümleri 21 Ekim'de yamalı sürümlere (8.3.36 ve 8.5.12) güncellendi.
2. **Müşteri sistemlerini tek tek ele aldık.** Barındırma ve bakımını üstlendiğimiz müşterilerimizin sistemlerinde PHP sürümlerini kontrol ettik ve güvenlik güncellemelerini uyguladık.
3. **Eski sürümlere ayrı yol haritası.** Desteklenmeyen bir PHP sürümüne bağlı kalan uygulama için sahibiyle birlikte sürüm geçişini planlıyor, geçiş tamamlanana kadar erişimi kısıtlayıp yakından izliyoruz.
4. **İzlemeyi sıkılaştırdık.** Sunucu kayıtlarını olağandışı istek desenleri, beklenmeyen süreç çökmeleri ve şüpheli dosya değişiklikleri için izlemeye aldık.
5. **Haber vermeyi işin parçası saydık.** Bu yazı da bunun bir parçası: müşterilerimizin "acaba bizi etkiliyor mu?" diye sormasını beklemeden ne yaptığımızı paylaşıyoruz.

Biz güvenliği yalnız bir yazılım güncellemesi olarak değil, **sizin adınıza sürekli nöbet tutmak** olarak görüyoruz. Siteniz, e-ticaret altyapınız, portalınız ya da mail sisteminiz bizim sunucularımızda ya da bizim bakımımızdaysa, bu açık için sizin yapmanız gereken bir şey yok.

## Sitenizi başka bir firma ya da kendiniz yönetiyorsanız

Aşağıdaki kontrol listesini bugün uygulamanızı öneririz:

- **PHP sürümünüzü öğrenin.** Barındırma panelinizden ya da firmanızdan kesin sürüm numarasını isteyin. "PHP 8" demek yeterli değil; örneğin 8.3.35 açıklı, 8.3.36 güvenlidir.
- **Desteklenen dalda değilseniz geçiş planı yapın.** PHP 8.1 ve öncesi için resmî yama yok. Eski bir WordPress teması ya da eski bir yazılım sizi eski sürümde tutuyorsa, bu artık ertelenecek bir iş değil.
- **Paylaşımlı hosting kullanıyorsanız sağlayıcınıza sorun.** Güncellemeyi sizin değil onların yapması gerekir; ne zaman yaptıklarını yazılı olarak isteyin.
- **Unutulmuş kurulumları arayın.** Eski kampanya siteleri, test ortamları, alt alan adlarında duran eski paneller çoğu zaman en zayıf halkadır.
- **Bir WAF kullanıyorsanız kuralları açın, ama yamanın yerine koymayın.** Cloudflare gibi servisler bilinen saldırı vektörleri için geçici kurallar yayımladı; bunlar yalnız ek bir katmandır.
- **Kayıtlara geriye dönük bakın.** 20 Ekim'den bu yana olağandışı PHP süreç çökmeleri, beklenmeyen yeni dosyalar ya da yönetici hesapları görüyorsanız bir uzmana inceletin.

## Sık sorulan sorular

**Soru: Sitem Globya'da barınıyor, bir şey yapmam gerekiyor mu?**
Hayır. Sunucularımızdaki PHP sürümleri yamanın çıktığı gün güncellendi ve sistemler izlemede. Merak ettiğiniz bir şey olursa bize her zaman ulaşabilirsiniz.

**Soru: WordPress güncellemesi yapmam yeterli mi?**
Hayır. Açık WordPress'te değil, onu çalıştıran PHP motorunda. WordPress, eklenti ve temalarınız güncel olsa bile sunucudaki PHP sürümü yamalı değilse risk sürer.

**Soru: Sitemin etkilendiğini nasıl anlarım?**
Önce PHP sürümünüzü kontrol edin; yukarıdaki tablodaki güvenli sürümlerden birinde değilseniz siteniz risk altındadır. İhlal belirtisi olup olmadığını anlamak için sunucu kayıtlarının bir uzman tarafından incelenmesi gerekir.

**Soru: Sistemimi sizin kontrol etmenizi isteyebilir miyim?**
Elbette. PHP sürümünüzü, sunucu ayarlarınızı ve olası ihlal izlerini inceleyip size sade bir rapor hazırlıyoruz. [İletişim sayfasından](https://www.globya.com.tr/iletisim) ya da 0850 432 55 13 numaralı telefondan bize ulaşabilirsiniz.

*Kaynaklar: PHP güvenlik duyuruları (GHSA-w8hw-w9fx-j79w, GHSA-6wmf-4rv5-p3rp), Help Net Security, SecurityWeek, The Hacker News, watchTowr, Huntress ve NCSC-NL açıklamaları, 20–21 Ekim 2026. Açıkla ilgili bilgiler hızla güncelleniyor; yeni gelişmeleri bu yazıya ekleyeceğiz.*