<?php Bağımsız PHP güvenlik kontrolü
PHP’niz PHP2Shell’den etkileniyor mu?
PHP’nin kendisindeki iki kritik açık uzaktan kod çalıştırmaya izin veriyor. Açıklar 21 Ekim 2026’da düzeltildi. Bir web sitesinin PHP sürümü hakkında neyi açığa verdiğini kontrol edin ya da bir sürüm bilgisi yapıştırın — ardından tam olarak ne yapmanız gerektiğini görün.
- Pasif: tek sıradan istek, saldırı yok
- Ücretsiz, kayıt yok, reklam yok
- php.net ve resmi güvenlik duyurularına dayanır
2Bir sürümü kontrol edin
Tarayıcınızda değerlendirilir — bize hiçbir şey gönderilmez. Her satıra bir sürüm, en fazla 20.
01 · php.net · 2026-10-23
Düzeltilmiş sürümler
| Dal | Düzeltildiği sürüm | Dal durumu |
|---|---|---|
| PHP 8.5 | 8.5.12 | Aktif olarak destekleniyor |
| PHP 8.4 | 8.4.27 | Aktif olarak destekleniyor |
| PHP 8.3 | 8.3.36 | Yalnızca güvenlik düzeltmeleri |
| PHP 8.2 | 8.2.35 | Yalnızca güvenlik düzeltmeleri — destek 31 Ara 2026’da bitiyor |
| PHP 8.1 · 8.0 · 7.x · 5.x | Resmî sürüm yok | Destek süresi bitmiş — PHP projesinden sürüm yok |
Kaynak: php.net güvenlik duyurusu, 21 Ekim 2026. Son doğrulama: 2026-10-23.
PHP2Shell nedir?
PHP2Shell, araştırmacıların PHP motorundaki iki güvenlik açığına verdiği addır: CVE-2026-109618 (PHP bir isteği ayrıştırırken belleği tükendiğinde oluşan bellek bozulması) ve CVE-2026-109619 (aynı işçi süreçte bir istekten sonrakine taşınan iç durum). İkisi de CVSS v4.0 ile 9.2 olarak derecelendirildi.
Kimlik doğrulaması yapılmamış bir saldırgan sunucuda kod çalıştırabilir ya da hiç kod çalıştırmadan PHP süreç belleğini okuyabilir — başka isteklere ait parolalar, oturum token’ları, API anahtarları ve sertifikalar dahil. php.net’e göre açıklar web isteklerine hizmet eden PHP’yi etkiliyor: PHP-FPM, mod_php ile Apache, php-cgi, FrankenPHP ve LiteSpeed. Araştırmacılar WordPress, Drupal ve Joomla’ya karşı saldırılar gösterdi, ancak belirli bir uygulama gerekmez: etkilenen bir PHP üzerindeki basit bir “Hello World” sayfası bile risk altındadır.
Şimdi ne yapmalı
- 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümüne — ya da dağıtımınızın yamalı paketine — güncelleyin.
- Tüm PHP süreçlerini yeniden başlatın: PHP-FPM, Apache, kuyruk işçileri, container’lar. Bunu yapana kadar güncelleme devreye girmez.
- Sunucudaki her PHP’yi kontrol edin — paneller genellikle birden çok sürümü yan yana kurar.
02 · shell
Sunucunun kendisinde kontrol edin
Web sitesi kontrolü yalnızca sunucunun açığa vermeyi seçtiği bilgiyi görür. Sunucuda şu komutlar gerçek cevabı verir:
# varsayılan PHP’nin sürümü
php -v
# paneller veya paketler tarafından kurulmuş diğer PHP sürümleri
ls -d /usr/bin/php* /usr/sbin/php-fpm* /opt/alt/php*/usr/bin/php /opt/cpanel/ea-php*/root/usr/bin/php /opt/plesk/php/*/bin/php 2>/dev/null
# kısmi önlemlerle ilgili ayarlar
php -i | grep -E 'session.upload_progress.enabled|post_max_size|memory_limit|fatal_error_backtraces'
# sitenizin ziyaretçilere açığa verdikleri
curl -sI https://siteniz.com/ | grep -i -E '^(x-powered-by|server):'03 · FAQ
Sık sorulan sorular
Hangi PHP sürümleri etkileniyor?
Desteklenen dallarda 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 öncesindeki tüm sürümler. PHP 8.1 ve öncesinin desteği bitmiştir ve PHP projesinden sürüm almaz; sağlayıcınız backport edilmiş bir düzeltmeyi teyit etmedikçe bunları etkilenmiş kabul edin.
Sitem PHP sürümü göstermiyor. Güvende miyim?
Şart değil. Sürümü gizlemek (expose_php = Off) iyi bir uygulamadır ama hiçbir şeyi yamalamaz. Sunucuda php -v ile kontrol edin ya da sağlayıcınıza sorun.
Araç eski bir sürüm gösteriyor ama hosting firmam yamalı olduğunu söylüyor. Hangisi doğru?
Muhtemelen ikisi de. Debian, Ubuntu ve RHEL gibi Linux dağıtımları güvenlik düzeltmelerini çoğu zaman sürüm numarasını değiştirmeden backport eder. Hosting firmanıza hangi paket derlemesinin kurulu olduğunu ve changelog’unda CVE-2026-109618 ile CVE-2026-109619’un geçip geçmediğini sorun.
WordPress, Laravel veya kullandığım CMS etkileniyor mu?
Açıklar PHP’nin kendisinde olduğu için etkilenen bir PHP üzerinde çalışan her uygulama risk altındadır. Araştırmacılar WordPress, Drupal ve Joomla’ya karşı kimlik doğrulaması gerektirmeyen saldırılar gösterdi, ancak bunlar yalnızca örnekti — sade bir “Hello World” sayfası bile yeterlidir. WordPress’i veya eklentileri güncellemek sorunu çözmez; PHP güncellenmelidir.
Hiç kod çalıştırılmadan da veri sızabilir mi?
Evet. CVE-2026-109619, saldırgan kod çalıştırmadan PHP süreç belleğini — başka isteklere ait parolaları, oturum token’larını, API anahtarlarını ve sertifikaları — açığa çıkarabilir. Bu tür sızıntılar geride dosya bırakmaz ve tespit edilmesi zordur; bu yüzden etkilenen bir sürümü internette çalıştırmış her sitenin gizli bilgilerini değiştirin.