Dünya genelinde çok sayıda internet sitesinin altyapısında kullanılan PHP programlama dilinde iki kritik güvenlik açığı tespit edildi. PHP2Shell adı verilen ve CVE-2026-109618 ile CVE-2026-109619 kodlarıyla takip edilen açıklar, belirli koşullarda saldırganların savunmasız sunucularda kimlik doğrulaması olmadan uzaktan kod çalıştırmasına imkân tanıyabiliyor. PHP Güvenlik Ekibi, 21 Ekim 2026 tarihinde dört farklı sürüm için güvenlik güncellemesi yayımladı.
Her iki açığın CVSS 4.0 güvenlik değerlendirmesindeki önem derecesi 10 üzerinden 9,2 olarak açıklandı. Güvenlik uyarısı özellikle internete açık PHP sunucularını yöneten işletmeleri, barındırma şirketlerini ve sistem yöneticilerini ilgilendiriyor.
PHP2Shell nedir, neden tehlikeli?
PHP2Shell, PHP'nin çalışma mekanizmasında tespit edilen iki uzaktan kod çalıştırma güvenlik açığına verilen ad. PHP'nin resmî güvenlik duyurusuna göre sorunlardan biri bellek yetersizliği durumlarının yönetimiyle, diğeri ise farklı istekler arasında geçerliliğini yitirmiş bellek durumunun kullanılabilmesiyle ilişkili.
Özellikle Apache mod_php yapılandırmasında, belirli koşullarda saldırının uygulamanın kendi kodu çalışmaya başlamadan tetiklenebildiği gösterildi. Bu durum, yalnızca internet sitesi yazılımında alınan güvenlik önlemlerinin yeterli olmayabileceğine işaret ediyor.
Ancak PHP kullanan her internet sitesinin saldırıya açık olduğu söylenemez. Risk, kullanılan PHP sürümüne, sunucu yapılandırmasına ve güvenlik güncellemelerinin uygulanıp uygulanmadığına bağlı olarak değişiyor.
PHP güvenlik açığı hangi sürümlerde giderildi?
PHP geliştiricileri, 21 Ekim 2026 tarihinde yayımladıkları duyuruyla PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 ve PHP 8.5.12 sürümlerindeki güvenlik düzeltmelerini açıkladı.
Resmî destek kapsamı dışında kalan PHP 8.1 ve daha eski sürümleri kullanan sistemlerin ise desteklenen sürümlere geçirilmesi veya ilgili dağıtım sağlayıcısının sunduğu güvenlik düzeltmelerinden yararlanılması gerekiyor.
Sunucu yönetim platformu Plesk de 22 Ekim tarihli güvenlik bilgilendirmesinde kendi PHP paketleri ve yönetim paneli bileşenleri için düzeltme sürümlerini duyurdu.
İnternet sitesi sahipleri ne yapmalı?
Kanada Siber Güvenlik Merkezi, 21 Ekim 2026 tarihli açıklamasında internete açık PHP sunucularının öncelikli olarak güncellenmesini önerdi. Kurum ayrıca kullanılan sistemlerin envanterinin çıkarılması, saldırı kayıtlarının incelenmesi ve gerektiğinde savunmasız sistemlerin geçici olarak internet erişiminden ayrılması tavsiyesinde bulundu.
Amazon Web Services tarafından yayımlanan teknik bilgilendirmede ise web uygulaması güvenlik duvarı kurallarının saldırı riskini azaltmaya yardımcı olabileceği belirtildi. Bununla birlikte güvenlik duvarı önlemleri, PHP güncellemesinin yerine geçmiyor.
İnternet sitesi sahiplerinin barındırma sağlayıcılarından kullandıkları PHP sürümünü ve gerekli düzeltmelerin uygulanıp uygulanmadığını öğrenmeleri önem taşıyor.
PHP'de yeni bir güvenlik uyarısı daha yayımlandı
PHP projesi, 23 Ekim 2026 tarihinde oturum dosyası yükleme ilerleme mekanizmasını ilgilendiren ayrı bir güvenlik bilgilendirmesi de yayımladı. CVE-2026-115560 kapsamında değerlendirilen bu konu, belirli ve alışılmadık sunucu yapılandırmalarında olası uzaktan kod çalıştırma riskiyle ilişkili.
PHP geliştiricileri, söz konusu yapılandırmaları kullanan sistemlerde geçici önlem olarak session.upload_progress.enabled ayarının kapatılmasını önerdi. Bu uyarı, 21 Ekim'de güvenlik güncellemeleri yayımlanan iki PHP2Shell açığından ayrı bir sorun olarak değerlendiriliyor.
PHP2Shell açıklarından yararlanılarak dünya genelinde kaç internet sitesinin ele geçirildiği veya hizmet dışı kaldığına ilişkin doğrulanmış toplam veri bulunmuyor. Bu nedenle güvenlik açığının varlığı, PHP kullanan bütün sitelerin saldırıya uğradığı anlamına gelmiyor.
