PHP'de ortaya çıkarılan ve PHP2Shell olarak adlandırılan iki kritik güvenlik açığı, WordPress dahil PHP tabanlı internet sitelerini tehdit ediyor. Saldırganların kimlik doğrulaması olmadan sunucuda kod çalıştırmasına olanak tanıyabilen açıklar için güvenlik güncellemeleri yayımlandı.
PHP güvenlik açığı PHP2Shell nedir?
PHP geliştiricileri, 21 Ekim 2026 tarihinde PHP'nin çekirdek yapısında bulunan iki kritik güvenlik açığını kamuoyuyla paylaştı. PHP2Shell adıyla anılan bu açıklar, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip ediliyor. Her iki açık da CVSS 4.0 sisteminde 10 üzerinden 9,2 önem derecesine sahip.
Güvenlik araştırmacısı Wiz tarafından ortaya çıkarılan sorunlar, PHP'nin bellek yönetimi ve hatalı sonlanan isteklerin ardından sistem kaynaklarını temizleme biçimiyle ilişkili. Belirli koşullarda bellekte geçersiz verilerin kalması, saldırganların sunucunun davranışını değiştirmesine ve kendi kodlarını çalıştırmasına imkân tanıyabiliyor.
PHP güvenlik ekibinin açıklamasına göre açıklar, saldırganların kullanıcı hesabına giriş yapmadan uzaktan kod çalıştırmasına (Remote Code Execution - RCE) yol açabiliyor.
WordPress ve diğer içerik yönetim sistemleri etkileniyor mu?
PHP2Shell'i özellikle tehlikeli kılan nokta, güvenlik sorununun WordPress gibi uygulamalardan değil, doğrudan PHP'nin kendisinden kaynaklanması.
Wiz araştırmacıları, WordPress, Drupal ve Joomla'nın güncel kurulumlarında güvenlik açıklarından yararlanarak kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma saldırılarını başarıyla gerçekleştirdiklerini açıkladı.
Bu durum, WordPress'in veya kurulu eklentilerin güncel olmasının tek başına yeterli olmadığı anlamına geliyor. Çünkü saldırganlar, uygulamanın kendisinde ayrıca bir güvenlik açığı bulunmasa bile savunmasız PHP ortamını hedef alabiliyor.
PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed gibi farklı PHP çalışma ortamları da risk kapsamında değerlendiriliyor. Ancak her sunucunun aynı koşullarda veya aynı kolaylıkla istismar edilebildiği söylenemez.
PHP güvenlik açığından hangi sürümler etkileniyor?
PHP geliştiricileri, iki kritik açığı gidermek amacıyla 21 Ekim 2026 tarihinde dört ayrı güvenlik güncellemesi yayımladı.
Güvenlik düzeltmelerini içeren sürümler şöyle:
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
Bu sürümlerden önceki, ilgili güvenlik yamalarını içermeyen PHP kurulumlarının güncellenmesi gerekiyor.
PHP 8.1 ve daha eski sürümler ise PHP projesinin olağan güvenlik desteği dışında bulunuyor. Bununla birlikte bazı Linux dağıtımları ve uzun süreli destek sağlayıcıları, eski sürümlere güvenlik düzeltmelerini ayrıca uygulayabiliyor.
Dolayısıyla eski bir sürüm numarası görülmesi, sistemin kesin olarak savunmasız olduğunu göstermiyor. Kullanılan PHP paketinin ilgili yamaları içerip içermediği de kontrol edilmeli.
PHP ekibi, güvenlik açıklarının ciddiyeti nedeniyle kullanıcıları güncelleme yapmaya çağırıyor. Özellikle sunucu yönetiminden sorumlu kişilerin güncellemeleri geciktirmemesi gerekiyor.
WordPress kullanıcıları PHP2Shell açığına karşı ne yapmalı?
WordPress kullanan site sahiplerinin öncelikle sunucularında çalışan PHP sürümünü öğrenmesi gerekiyor.
WordPress yönetim panelindeki Araçlar → Site Sağlığı → Bilgi → Sunucu bölümünden PHP sürümü görüntülenebiliyor.
Ancak PHP sürümünü değiştirmek genellikle WordPress üzerinden değil, hosting kontrol paneli veya sunucu yönetim araçları üzerinden gerçekleştiriliyor.
Paylaşımlı hosting kullanıcıları ne yapmalı?
Paylaşımlı hosting hizmeti kullananların, PHP güvenlik güncellemelerinin uygulanıp uygulanmadığını hizmet sağlayıcılarından doğrulaması gerekiyor.
PHP sürümünü kendi başına değiştirebilen kullanıcıların ise güncelleme öncesinde yedek alması ve tema ile eklentilerin yeni sürümle uyumluluğunu kontrol etmesi öneriliyor.
PHP güvenlik ekibi, güvenlik duvarı ve çeşitli sunucu yapılandırmalarının saldırı riskini belirli ölçüde azaltabileceğini ancak güvenlik güncellemesinin yerini alamayacağını vurguluyor.
WordPress.com kullanıcıları da risk altında mı?
WordPress'in arkasındaki şirketlerden Automattic, 21 Ekim'de yayımladığı resmî açıklamada WordPress.com, WordPress VIP, WP Cloud, Pressable ve Tumblr altyapılarında barındırılan sitelerin PHP2Shell açıklarına karşı korunduğunu duyurdu.
Şirket, söz konusu hizmetlerin kullanıcılarının ek bir işlem yapmasına gerek olmadığını belirtti.
Ancak bu güvence, WordPress yazılımını farklı hosting şirketleri üzerinden kullanan bütün internet sitelerini kapsamıyor.
PHP2Shell güvenlik açığı neden bu kadar önemli?
PHP, yalnızca WordPress'te değil, dünya genelinde çok sayıda internet sitesinin arka planında kullanılan temel teknolojilerden biri.
Bu nedenle PHP'nin çekirdeğini etkileyen bir güvenlik açığı, tek bir yazılımın veya eklentinin kullanıcılarıyla sınırlı kalmıyor.
PHP2Shell açıklarının başarılı biçimde istismar edilmesi, saldırganların sunucu üzerinde yetkisiz işlemler gerçekleştirmesine, hassas bilgilere erişmesine veya internet sitelerini değiştirmesine yol açabiliyor.
Üstelik saldırının gerçekleştirilebilmesi için her durumda geçerli bir kullanıcı hesabına ihtiyaç duyulmaması, söz konusu açıkları daha da ciddi hâle getiriyor.
Türkiye'de WordPress ve diğer PHP tabanlı sistemleri kullanan site sahipleri açısından da bu gelişme doğrudan önem taşıyor. Özellikle sunucusunun PHP güncellemelerini kendisi yönetmeyen kullanıcıların, hosting firmalarının yayımladığı güvenlik duyurularını takip etmesi gerekiyor.
PHP güvenlik açığını gidermenin temel yolu, ilgili güvenlik düzeltmelerinin sunucuya uygulandığından emin olmak. WordPress çekirdeğini, temaları ve eklentileri güncel tutmak önemli olsa da PHP2Shell için tek başına yeterli değil.
Yorumlar 0