# Siteniz PHP2Shell açığına açık mı? Birkaç saniyede öğrenin.

Kaynak: https://www.globya.com.tr/php2shell-kontrol

> 21 Ekim 2026'da duyurulan PHP2Shell, şifre gerektirmeden sunucuda kod çalıştırmaya izin veren kritik bir açık. Sitenizin adresini yazın, sunucunuzun bildirdiği PHP sürümünü yamalı sürümlerle karşılaştıralım ve risk varsa hemen ne yapmanız gerektiğini söyleyelim.

## PHP2Shell neden bu kadar tehlikeli?

PHP2Shell, PHP'nin çekirdeğinde bulunan iki kritik açığın (CVE-2026-109618 ve CVE-2026-109619) ortak adıdır. Önem derecesi CVSS v4.0'a göre **9.2**'dir. Saldırganın kullanıcı adına ya da şifreye ihtiyacı yoktur; özel hazırlanmış istekler göndererek sunucuda kendi kodunu çalıştırabilir. Raporlara göre saldırı, sitenizin kendi kodu daha çalışmadan gerçekleşebiliyor. Bu yüzden WordPress, eklentiler ya da güvenlik eklentisi güncel olsa bile **sunucudaki PHP yamalı değilse risk sürer.**

Ayrıntılar planlanandan önce sızdı ve herkese açık saldırı kodları dolaşımda. Ulusal siber güvenlik merkezleri geniş çaplı saldırı beklediklerini açıkladı. Açığın tüm ayrıntılarını [PHP2Shell yazımızda](https://www.globya.com.tr/blog/php2shell-php-guvenlik-acigi) anlattık.

## Güvenli sürümler

| PHP dalı | Güvenli sürüm |
|---|---|
| 8.5 | 8.5.12 ve üzeri |
| 8.4 | 8.4.27 ve üzeri |
| 8.3 | 8.3.36 ve üzeri |
| 8.2 | 8.2.35 ve üzeri |
| 8.1 ve öncesi, 7.x, 5.x | Resmî yama yok; desteklenen bir sürüme geçilmeli |

## Bu kontrol neye bakıyor?

Kontrol tamamen pasiftir; sitenize bir saldırı ya da istismar denemesi yapmaz. Ana sayfanızı ve iki küçük adresi sıradan bir ziyaretçi gibi ister, yanıtta görünen işaretleri okur:

- **Sunucunun ilan ettiği PHP sürümü** (X-Powered-By ve Server başlıkları). Sürüm görünüyorsa yamalı sürümlerle karşılaştırırız.
- **PHP kullanıldığına dair izler**: oturum çerezleri, WordPress dosya yolları, .php adresleri.
- **Barındırılan altyapılar** (Shopify, Wix gibi): bu durumda sunucu güncellemesi sağlayıcının sorumluluğundadır.

Sürüm gizliyse bunu iyi bir uygulama sayarız, ama yamanın uygulandığını dışarıdan kanıtlayamayız. Bu durumda size **"doğrulanmalı"** deriz; tahminle "güvendesiniz" demeyiz. Ubuntu ve Debian gibi dağıtımlar yamayı eski sürüm numarasına geri taşıyabildiği için bu tür sunucuları da doğrulanmalı olarak işaretleriz.

## Sonuç kritik çıkarsa

Panik yapmayın, ama beklemeyin. Kontrol size adım adım ne yapmanız gerektiğini gösterir. En hızlısı bizi aramaktır: **0850 432 55 13**. Barındırma ve bakımını üstlendiğimiz sistemlerde güncellemeyi aynı gün yapıyoruz; başka bir firmada barınan siteniz için de sunucunuzu birlikte kontrol edip yol haritası çıkarabiliriz.

Sitenizin güvenliğini KVKK, SEO ve e-posta itibarıyla birlikte görmek isterseniz [ücretsiz dijital analiz](https://www.globya.com.tr/dijital-analiz) aracımız PHP2Shell kontrolünü de içeriyor.

## Sık sorulan sorular

**Soru: Bu kontrol siteme zarar verir mi?**
Hayır. Yalnız herkese açık ana sayfanızı ve iki küçük adresi bir ziyaretçi gibi isteriz. Form göndermez, giriş denemez, açığı denemeyiz.

**Soru: Sonuç "PHP izi yok" çıktı, güvende miyim?**
Ana sayfanızda PHP izi görmedik demektir. Aynı alan adında ya da alt alan adlarında eski bir site, yönetim paneli, blog veya kampanya sayfası varsa onları da kontrol ettirin; unutulan kurulumlar çoğu zaman en zayıf halkadır.

**Soru: Sonuç "doğrulanmalı" çıktı, ne yapmalıyım?**
Barındırma firmanıza ya da BT ekibinize kesin PHP sürümünü sorun. Yukarıdaki tablodaki sürümlerin altındaysa bugün güncellenmesini isteyin. Emin olamıyorsanız bizi arayın.