PHP2Shell Güvenlik Açığı Nedir?

Ekim 2026'da duyurulan PHP2Shell güvenlik açıkları, PHP tabanlı web siteleri ve sunucular için önemli bir güvenlik gündemi oluşturdu. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen iki kritik açık, savunmasız sistemlerde kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına olanak tanıyabiliyor.

PHP projesi, güvenlik güncellemesi hazırlığına ilişkin duyuruyu 20 Ekim 2026'da yaptı ve ilgili güvenlik yamalarını 21 Ekim 2026'da yayımladı. Her iki açık da CVSS değerlendirmesinde 10 üzerinden 9,2 puan aldı. Güvenlik kurumları, internete açık PHP sistemlerinin gecikmeden güncellenmesi gerektiği konusunda uyarılarda bulundu.

PHP2Shell Açıkları Nasıl Bir Risk Oluşturuyor?

Bu güvenlik açıkları, PHP'nin bellek yönetimi ve istek işleme süreçlerindeki hatalarla ilişkilidir. Uygun koşullarda saldırganlar, savunmasız bir sunucuda yetkisiz kod çalıştırmayı deneyebilir.

Açıkların oluşturabileceği başlıca riskler şunlardır:

  • Sunucuda yetkisiz komutların çalıştırılması.
  • Web sitesi dosyalarının değiştirilmesi veya kötü amaçlı yazılımların yerleştirilmesi.
  • Veritabanında bulunan bilgilerin güvenliğinin tehlikeye girmesi.
  • Sunucu kaynaklarının kötüye kullanılması.
  • Aynı altyapıda barındırılan diğer uygulamaların risk altında kalması.

Riskin seviyesi, kullanılan PHP sürümüne ve sunucu yapılandırmasına göre değişebilir. Ancak PHP çalışma zamanını etkileyen bu tür açıklar, yalnızca uygulama kodunu kontrol ederek giderilemez.

## Hangi PHP Sürümleri Etkileniyor?

PHP ekibinin 21 Ekim 2026 tarihinde yayımladığı güvenlik güncellemeleri, aşağıdaki sürümleri içeriyor:

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

Daha eski sürümlerde güvenlik yamalarının durumu ayrıca kontrol edilmelidir. Özellikle standart destek süresi sona ermiş sürümlerde, dağıtım sağlayıcısının sunduğu güvenlik düzeltmeleri veya desteklenen bir sürüme geçiş seçenekleri değerlendirilmelidir.

PHP-FPM, Apache mod_php, php-cgi ve LiteSpeed gibi PHP üzerinden web isteği işleyen farklı sunucu yapılandırmaları da güvenlik değerlendirmesine dahil edilmelidir.

Web Siteleri İçin Alınması Gereken Güvenlik Önlemleri

PHP tabanlı bir web sitesinin güvenliğini korumak için yalnızca kullanılan içerik yönetim sistemini güncellemek yeterli değildir. PHP çalışma zamanı ve sunucu altyapısı da kontrol edilmelidir.

Önerilen önlemler şunlardır:

  • PHP sürümünü kontrol ederek ilgili güvenlik yamalarını uygulamak.
  • Sunucu servislerini güncellemek ve güncellemelerin etkin olduğunu doğrulamak.
  • WordPress eklentileri ve üçüncü taraf yazılım bağımlılıklarını güncel tutmak.
  • Dosya ve veritabanı erişim yetkilerini sınırlandırmak.
  • Sunucu kayıtlarını inceleyerek şüpheli etkinlikleri araştırmak.
  • Düzenli yedekleme yapmak ve geri yükleme süreçlerini test etmek.
  • Güncelleme sonrasında sistemin güvenli ve doğru şekilde çalıştığını doğrulamak.

Güvenlik duvarı ve ek sunucu kısıtlamaları riski azaltmaya yardımcı olabilir. Ancak PHP ekibinin de belirttiği üzere, ilgili açıkları tamamen gidermek için uygun güvenlik güncellemelerinin uygulanması gerekir.

NOWSOFT Projelerinde Güvenlik Önlemlerimizi Uyguladık

NOWSOFT olarak geliştirdiğimiz ve bakımını üstlendiğimiz web siteleri ile yazılım projelerinde güvenliği öncelikli konular arasında tutuyoruz.

PHP2Shell güvenlik duyurularının ardından projelerimizde ilgili PHP altyapılarını ve sunucu yapılandırmalarını gözden geçirdik. Gerekli güvenlik kontrollerini gerçekleştirerek ilgili önlemleri uyguladık ve kullandığımız sistemlerin güvenlik durumunu değerlendirdik.

Yazılım geliştirme ve bakım süreçlerimizde yalnızca bilinen güvenlik açıklarına müdahale etmekle yetinmiyor; yazılım bağımlılıklarının güncelliğini, sunucu yapılandırmalarını ve erişim yetkilerini de dikkate alıyoruz.

Amacımız, geliştirdiğimiz projelerin güvenliğini korumak, olası riskleri en aza indirmek ve kullanıcılarımıza güvenilir dijital çözümler sunmaktır.

Güvenlik Sürekli Takip Gerektirir

Bir güvenlik açığına yönelik güncelleme yapılması önemli bir adımdır. Bununla birlikte yeni açıklar ortaya çıkabilir ve zaman içerisinde yazılım bileşenleri güncelliğini kaybedebilir.

Bu nedenle web sitesi sahiplerinin güvenlik duyurularını takip etmesi, güncellemeleri geciktirmemesi ve sunucu altyapılarını düzenli olarak kontrol etmesi gerekir. Şüpheli bir durum tespit edildiğinde ise yalnızca güncelleme yapmakla yetinilmemeli, olası ihlal belirtileri de araştırılmalıdır.

Sonuç

Ekim 2026'da gündeme gelen PHP2Shell açıkları, PHP tabanlı web sitelerinde güncel yazılım kullanımının ve düzenli güvenlik kontrollerinin önemini bir kez daha ortaya koydu.

NOWSOFT olarak geliştirdiğimiz projelerde gerekli güvenlik kontrollerini ve iyileştirmeleri uygulamaya önem veriyor, güvenli yazılım geliştirme yaklaşımımızı sürdürüyoruz.

Web yazılımı, sunucu güvenliği ve mevcut projelerin altyapı iyileştirmeleri hakkında bilgi almak için NOWSOFT ile iletişime geçebilirsiniz.

Kaynaklar

  • PHP Resmî Güvenlik Duyuruları: https://www.php.net/archive/2026.php
  • CERT-EU – PHP Kritik Güvenlik Açıkları: https://cert.europa.eu/publications/security-advisories/2026-018/
  • ENISA – Kritik PHP Güvenlik Açıkları Hakkında Ortak Açıklama: https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities