PHP2Shell Alarmı: Milyonlarca Siteyi Tehdit Eden Kritik PHP Açıkları İçin Acil Güncelleme
İnternetin önemli bir bölümünün altyapısında kullanılan PHP programlama dilinde iki kritik güvenlik açığı ortaya çıkarıldı. “PHP2Shell” adıyla anılan açıklar, saldırganların bazı savunmasız sunucularda herhangi bir kullanıcı hesabına ihtiyaç duymadan uzaktan kod çalıştırmasına imkan verebiliyor.
PHP geliştiricileri 21 Ekim 2026 tarihinde olağan takvimin dışında güvenlik güncellemeleri yayımlarken, uzmanlar internet üzerindeki açık sistemlere yönelik saldırıların son derece hızlı başlayabileceği konusunda uyarıyor.
Sorunun boyutu yalnızca PHP kullanan özel yazılımlarla sınırlı değil. WordPress, Drupal, Joomla, Magento, Laravel ve benzeri PHP tabanlı platformların çalıştığı sunucular da kullanılan PHP sürümüne bağlı olarak risk altında bulunuyor.
PHP Foundation, güvenlik açıklarını gideren PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinin yayımlandığını doğruladı ve PHP kullanan sistemlerin mümkün olan en kısa sürede güncellenmesini istedi.
PHP2Shell güvenlik açığı nedir?
PHP2Shell adı aslında birbirleriyle ilişkili iki ayrı kritik güvenlik sorununu kapsıyor:
- CVE-2026-109618
- CVE-2026-109619
Her iki açık da CVSS v4.0 ölçeğinde 9,2/10 gibi son derece yüksek bir önem derecesine sahip.
İlk güvenlik açığı, PHP’nin bellek sınırına ulaştığı belirli koşullarda dahili verileri hatalı biçimde işlemesine dayanıyor. Bellekte kısmen oluşturulmuş verilerin geçerli kabul edilmesi, saldırganın bellek yapısını bozmasına ve belirli sistemlerde uzaktan kod çalıştırmasına (RCE) yol açabiliyor.
PHP Foundation’a göre saldırının Apache üzerinde mod_php kullanılan sistemlerde, uygulama kodu çalışmaya başlamadan önce tetiklenebilmesi mümkün. PHP-FPM kullanan sistemlerde de uygulama seviyesindeki yollar üzerinden uzaktan kod çalıştırma doğrulandı.
İkinci açıkta ise kritik bir hata sonrasında PHP’nin daha önce serbest bırakılmış belleğe işaret eden eski dahili bilgileri kullanabilmesi söz konusu. Sonraki bir HTTP isteğinde aynı worker işleminin kullanılması, saldırgana ciddi bir istismar alanı oluşturabiliyor. PHP geliştiricileri gerçek bir uygulama üzerinde uzaktan kod çalıştırmanın gösterildiğini belirtiyor.
PHP 5.4 ve üzerindeki sistemler risk altında
Güvenlik şirketi Cloudflare ve Sansec’in teknik analizlerine göre sorunların kökeni oldukça eskiye uzanıyor ve PHP 5.4 veya daha yeni sürümlerin çalıştığı web sunucuları etkilenebiliyor. Sansec, açığın WordPress, Magento, Drupal, Joomla, MediaWiki, Nextcloud, Laravel ve Symfony dahil çok sayıda yaygın uygulamada doğrulandığını belirtiyor.
Buradaki önemli nokta, sorunun doğrudan WordPress veya başka bir içerik yönetim sisteminden kaynaklanmaması.
Güvenlik açığı PHP motorunun kendisinde bulunuyor.
Dolayısıyla WordPress çekirdeğini, eklentileri veya temaları güncellemek tek başına PHP2Shell sorununu ortadan kaldırmıyor. Sunucunun PHP sürümünün de güvenli sürümlerden birine yükseltilmesi gerekiyor.
İnternetin yaklaşık yüzde 70’inde PHP kullanılıyor
PHP’nin bu kadar büyük endişe yaratmasının temel nedeni kullanım oranı.
W3Techs’in Ekim 2026 verilerine göre sunucu tarafında kullanılan programlama dili belirlenebilen internet sitelerinin yaklaşık yüzde 69,4’ü PHP kullanıyor.
Bu oran doğrudan “internet sitelerinin yüzde 69,4’ünün kesin olarak saldırıya açık olduğu” anlamına gelmiyor. Bir sitenin etkilenip etkilenmediği; kullandığı PHP sürümü, sunucu yapılandırması, güvenlik katmanları ve güncellemelerin uygulanıp uygulanmadığı gibi faktörlere bağlı.
Ancak PHP’nin WordPress başta olmak üzere dünyanın en yaygın web altyapılarında kullanılması, PHP2Shell’in etkisini potansiyel olarak oldukça geniş hale getiriyor.
Güvenlik araştırmacısı Silas Cutler’ın aktarılan kaba tahminine göre internete doğrudan açık 1,3 milyondan fazla sunucu potansiyel olarak etkilenebilir. Bu rakamın kesin bir envanter değil, internet taramalarına dayanan yaklaşık bir tahmin olduğunu belirtmek gerekiyor.
Uzmanlar saldırıların çok hızlı başlamasından endişeli
Güvenlik firmalarının en önemli endişelerinden biri, güvenlik güncellemesinin yayımlanmasıyla birlikte saldırganların yamadaki kod değişikliklerini analiz ederek açığın nasıl kullanılabileceğini kısa sürede anlaması.
Bu yöntem siber güvenlik dünyasında uzun süredir biliniyor. Güvenlik yaması yayımlandıktan sonra eski ve yeni kod karşılaştırılarak düzeltilen bölüm bulunabiliyor ve buradan bir saldırı yöntemi geliştirilebiliyor.
Sansec, ilk açıklamalarında güvenlik yamalarının ardından geniş çaplı saldırıların çok kısa sürede başlayabileceği konusunda uyarırken, güncel açıklamasında istismar kodlarının ve teknik analizlerin artık kamuya açık olduğunu belirterek PHP kullanan tüm sunucuların acilen güncellenmesini tavsiye ediyor.
Üstelik saldırı belirtileri güncellemenin yayımlanmasından önce bile görülmeye başladı.
Cloudflare, PHP2Shell için hazırladığı Web Application Firewall kurallarını kamuya açık duyurudan yaklaşık dokuz saat önce devreye aldığını ve 21 Ekim itibarıyla erken dönem saldırı girişimlerinin gözlemlendiğini bildirdi. Şirket, saldırganların yeni yöntemleri ortaya çıktıkça koruma kurallarını güncelliyor.
WordPress kullanıcıları ne yapmalı?
WordPress kullanan site sahiplerinin dikkat etmesi gereken en önemli ayrıntı, WordPress yönetim panelindeki güncelleme sisteminin PHP2Shell’i tek başına düzeltememesi.
PHP, WordPress’in altında çalışan sunucu tarafı yazılım olduğu için güncellemenin hosting veya sunucu seviyesinde yapılması gerekiyor.
Paylaşımlı hosting kullanan kullanıcıların hosting şirketlerinin PHP güncellemesini uygulayıp uygulamadığını kontrol etmesi gerekiyor. VPS, VDS veya fiziksel sunucu yöneten kullanıcıların ise kullandıkları Linux dağıtımı veya sunucu paket yöneticisi üzerinden PHP’yi güvenli sürümlere yükseltmeleri gerekiyor.
PHP Foundation tarafından yayımlanan güvenli sürümler şu şekilde:
PHP 8.5 → 8.5.12
PHP 8.4 → 8.4.27
PHP 8.3 → 8.3.36
PHP 8.2 → 8.2.35
PHP Foundation, bu sürümlerin iki kritik açığı giderdiğini ve PHP kullanan sistemlerin hemen güncellenmesi gerektiğini açıkça belirtiyor.
Özellikle artık resmi PHP desteği almayan eski sürümlerin kullanılması ciddi bir risk oluşturuyor. Sunucu yöneticilerinin yalnızca geçici WAF kurallarına güvenmek yerine mümkün olduğunca desteklenen ve yamalanmış PHP sürümlerine geçmesi tavsiye ediliyor.
Güvenlik açıklarının bulunmasında yapay zeka kullanıldı
PHP2Shell olayının dikkat çekici bir başka tarafı ise güvenlik açıklarının keşfedilme süreci.
OpenAI tarafından yayımlanan açıklamaya göre güvenlik şirketi Calif, PHP kaynak kodunu incelerken GPT-5.6 Sol modelinden yararlanarak kritik açıklardan birini tespit etti. Güvenlik şirketi Wiz da açıkları bağımsız olarak keşfederek PHP geliştiricilerine bildirdi.
The Wall Street Journal‘ın aktardığı bilgilere göre Calif araştırmacısı Ryan Austin, Ağustos 2026’da gerçekleştirdiği kaynak kodu denetiminde GPT-5.6 Sol’dan yararlandı. Bulgular daha sonra koordineli şekilde PHP geliştiricilerine iletildi.
Olay, yapay zekanın siber güvenlik alanındaki çift yönlü etkisini bir kez daha ortaya koyuyor.
Gelişmiş yapay zeka modelleri milyonlarca satırlık kod içerisinde insanların fark etmekte zorlanabileceği güvenlik sorunlarını bulmak için kullanılabilirken, aynı yeteneklerin kötü niyetli aktörler tarafından güvenlik açıklarını keşfetmek veya yayımlanan yamaları analiz etmek için kullanılması da mümkün.
PHP geliştiricileri sorunun temelini 2024’ten beri biliyordu
PHP Foundation’ın açıklamasındaki en dikkat çekici ayrıntılardan biri ise CVE-2026-109618’in temelindeki bellek sorununa ilişkin ilk işaretlerin 2024 yılında görülmüş olması.
PHP’nin 2024’te gerçekleştirilen harici güvenlik denetiminin ardından bir PHP çekirdek geliştiricisi, bellek yetersizliği durumuyla bağlantılı sorunun ilk belirtilerini fark etti.
Ancak geliştiriciler soruna getirilecek çözümün geriye dönük uyumluluğu bozması, yeni hizmet dışı bırakma sorunlarına neden olması veya çok sayıda üçüncü taraf PHP eklentisinde değişiklik gerektirmesi gibi risklerle karşılaştı.
PHP Foundation, bu nedenle çözüm sürecinin aylar boyunca ilerleyip tekrar durduğunu kabul ediyor ve yaşanan gecikmeyi açık şekilde “yapısal bir başarısızlık” olarak nitelendiriyor. Organizasyon, güvenlik ekibinin karar alma süreciyle birlikte kaynak eksikliğinin de gecikmede rol oynadığını belirtiyor.
PHP Foundation şimdi benzer güvenlik sorunlarının gelecekte daha hızlı çözülebilmesi için karar alma ve güvenlik süreçlerini yeniden yapılandırdığını söylüyor.
İnternetin sertifika altyapısında da ayrı bir güvenlik krizi yaşanıyor
PHP2Shell gündemiyle aynı dönemde web güvenliğini ilgilendiren ikinci önemli olay ise Hindistan merkezli sertifika otoritesi eMudhra ile ilgili ortaya çıktı.
Google ve Mozilla’nın açıklamalarına göre eMudhra ile bağlantılı sekiz ara sertifika otoritesinin özel anahtarları, yetersiz rastgelelik nedeniyle güvenli olmayan şekilde üretildi.
Bu durum teorik olarak saldırganların sahte HTTPS sertifikaları oluşturarak savunmasız istemcilere gerçek bir internet sitesini taklit etmesine imkan sağlayabiliyor.
Google, ilgili sertifikaları Chrome’un CRLSet sistemi üzerinden engellediğini ve Android cihazlara da Google Play Services üzerinden koruma dağıtıldığını açıkladı. Mozilla ise etkilenen sertifikaları OneCRL sistemi üzerinden Firefox’ta engelledi.
Bu olay PHP2Shell ile teknik olarak bağlantılı değil. Ancak iki güvenlik krizinin aynı dönemde ortaya çıkması, modern internet altyapısının web sunucularından sertifika otoritelerine kadar birbirine bağlı çok sayıda kritik bileşene ne kadar bağımlı olduğunu bir kez daha gösteriyor.
PHP2Shell için en önemli adım: Güncellemeyi geciktirmeyin
PHP2Shell sıradan bir WordPress eklentisi güvenlik açığından çok daha ciddi bir tablo ortaya koyuyor. Açıkların doğrudan PHP motorunda bulunması nedeniyle aynı sunucuda çalışan çok farklı PHP uygulamalarının etkilenebilmesi mümkün.
Bu nedenle site sahiplerinin kullandıkları WordPress sürümünün güncel olmasıyla yetinmemesi gerekiyor.
Özellikle internet üzerinden erişilebilen PHP sunucularında PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümlerinden uygun olanına mümkün olan en kısa sürede geçilmesi gerekiyor.
Hosting hizmeti kullanan kişilerin ise sağlayıcılarından PHP2Shell güncellemesinin uygulanıp uygulanmadığını teyit etmelerinde fayda var.
Saldırganların yeni açıkları otomatik araçlarla son derece hızlı şekilde tarayabildiği günümüz internetinde, güvenlik güncellemelerinde artık günler değil saatler hatta dakikalar bile önemli hale gelebiliyor.
