PHP, milyonlarca web sitesinin ve web uygulamasının temelinde çalışan en yaygın sunucu tarafı programlama dillerinden biri. Ancak PHP’nin kendi altyapısında ortaya çıkan kritik bir güvenlik açığı, yalnızca tek bir web sitesini değil, aynı sunucu üzerinde çalışan birden fazla uygulamayı da riske atabiliyor. Ekim 2026’da gündeme gelen CVE-2026-109618 ve CVE-2026-109619 numaralı açıklar, bu riskin ne kadar ciddi olabileceğini bir kez daha gösteriyor.

Araştırmacılar tarafından php2shell adıyla anılan güvenlik açıklarının, uzaktan kod çalıştırma (RCE) saldırılarına imkân verebileceği bildirildi. PHP güvenlik ekibi, iki açığı da CVSS v4.0 ölçeğinde 9,2 puanla kritik seviyede değerlendirdi. Resmî duyuruda, etkilenen ve düzeltilen sürümlerin güvenlik güncellemesiyle birlikte açıklanacağı belirtildi.

Bu yazıda PHP2Shell olarak anılan açıkların ne anlama geldiğini, PHP kullanan sunucuların neden risk altında olabileceğini ve sistem yöneticilerinin güvenliklerini artırmak için neler yapabileceğini ele alıyoruz.

PHP2Shell güvenlik açığı nedir?

PHP2Shell, CVE-2026-109618 ve CVE-2026-109619 numaralı iki kritik güvenlik açığı için araştırmacılar arasında kullanılan isimdir. Bu isim, PHP çalışan bir sunucuda uzaktan komut çalıştırılabilmesi ihtimaline işaret ediyor.

Uzaktan kod çalıştırma, bir saldırganın hedef sistemde fiziksel erişim sağlamadan veya sunucuya doğrudan giriş yapmadan kod çalıştırabilmesine olanak tanıyan güvenlik açıklarını ifade eder. Açığın koşullarına bağlı olarak saldırgan; dosya oluşturma, sistem bilgilerini toplama, zararlı yazılım indirme veya sunucu üzerindeki diğer kaynaklara erişmeye çalışma gibi eylemlerde bulunabilir.

Ancak burada önemli bir ayrım var: PHP2Shell açıklarının ayrıntılı teknik çalışma biçimi, ilk duyurular sırasında henüz yayımlanmamıştı. Bu nedenle hangi bileşenin etkilendiği, saldırının hangi koşullarda mümkün olduğu ve belirli bir yapılandırmanın gerekip gerekmediği konusunda kesin konuşmak mümkün değil. Açıkların RCE riski taşıdığına ilişkin bilgiler, teknik ayrıntılar yayımlanmadan önceki araştırmacı değerlendirmelerine dayanıyor.

PHP kullanan hangi sistemler risk altında olabilir?

PHP yalnızca özel olarak PHP ile geliştirilmiş web sitelerinde kullanılmıyor. İçerik yönetim sistemleri, e-ticaret platformları, sunucu yönetim panelleri ve bazı ticari yazılımlar da PHP çalıştırabiliyor.

Bu nedenle olası risk değerlendirmesi yapılırken yalnızca ana web sitesinin kullandığı PHP sürümüne bakmak yeterli olmayabilir.

Özellikle aşağıdaki sistemlerin kontrol edilmesi gerekiyor:

• WordPress: PHP tabanlı web siteleri ve bunların kullandığı sunucu ortamları.
• Drupal ve Joomla: PHP ile çalışan içerik yönetim sistemleri.
• Magento: PHP tabanlı e-ticaret altyapıları.
• cPanel ve Plesk: Web barındırma ve sunucu yönetimi için kullanılan kontrol panelleri.
• Özel web uygulamaları: Şirket içinde geliştirilen veya üçüncü taraflardan temin edilen PHP yazılımları.
• PHP içeren Windows yazılımları: Kendi içinde php.exe veya php-cgi.exe gibi bileşenler barındıran uygulamalar.

Burada dikkat edilmesi gereken nokta, bir yazılımın bu listede yer almasının tek başına savunmasız olduğu anlamına gelmemesidir. Gerçek risk; kullanılan PHP sürümüne, yazılımın çalışma biçimine ve açığın teknik koşullarına bağlıdır.

PHP sürümü nasıl kontrol edilir?

Bir sunucuda hangi PHP sürümünün çalıştığını belirlemek, güvenlik güncellemesi hazırlığının ilk adımlarından biridir.

SSH üzerinden erişilen Linux sunucularda aşağıdaki komut kullanılabilir:

php -v

Bu komut, komut satırında kullanılan PHP sürümünü gösterir. Ancak bazı sunucularda komut satırı PHP’si ile web uygulamalarını çalıştıran PHP sürümü farklı olabilir.

Örneğin web sitesi PHP-FPM üzerinden çalışırken terminalde görülen sürüm başka bir kuruluma ait olabilir. Bu nedenle yalnızca php -v çıktısına güvenmek yerine PHP-FPM servislerini, web sunucusu yapılandırmasını ve kullanılan paketleri de incelemek gerekir.

PHP’nin CGI modunda çalıştığı Windows sistemlerde ise uygulamanın kullandığı php-cgi.exe dosyasının sürümü ayrıca kontrol edilmelidir.

Sunucuda birden fazla PHP sürümü kuruluysa hepsinin envantere alınması önemlidir. Ayrıca barındırma panelinin kendi PHP kurulumları veya uygulamayla birlikte gelen bağımlılıklar da gözden geçirilmelidir.

PHP2Shell açıkları nasıl istismar edilebilir?

Bir güvenlik açığının istismar edilmesi, saldırganın hedef sistemde beklenmeyen bir davranış oluşturmasını ve bu davranıştan yararlanmasını içerir. RCE açıklarında amaç, hedef sunucunun saldırgan tarafından belirlenen kodları çalıştırmasını sağlamaktır.

PHP2Shell için ilk duyurular sırasında yayımlanmış doğrulanmış teknik ayrıntılar bulunmadığından, açığın hangi istek veya parametre üzerinden tetiklendiğini açıklamak mümkün değildi. Bu nedenle belirli bir URL’nin, kod parçasının veya yapılandırmanın bu açığı kesin olarak tetiklediğini iddia etmek doğru olmaz.

Bununla birlikte, PHP tabanlı sunucularda RCE saldırılarının ardından görülebilen bazı davranışlar güvenlik ekipleri için yararlı göstergeler olabilir.

Örneğin normalde web isteğini işlemekle görevli bir PHP sürecinin beklenmedik biçimde komut kabuğu, betik yorumlayıcısı veya dosya indirme aracı başlatması incelenmelidir.

Linux sistemlerde sh, bash, curl, wget, python ve perl; Windows sistemlerde ise cmd.exe, powershell.exe ve certutil.exe gibi süreçlerin PHP çalışanlarından başlatılması şüpheli olabilir. Ancak bu araçların her kullanımının zararlı olmadığı unutulmamalıdır. Meşru yönetim işlemleri de benzer süreçler oluşturabilir.

Bu nedenle süreç adı tek başına yeterli değildir. Komut satırı, işlemi başlatan üst süreç, çalışma zamanı ve sunucunun normal davranışı birlikte değerlendirilmelidir.

PHP güvenlik açığı nasıl kapatılır?

PHP2Shell gibi kritik açıklar karşısında en etkili yöntem, ilgili PHP sürümü için yayımlanan güvenlik düzeltmesini uygulamaktır. Ancak güncellemenin doğru yapılabilmesi için önce sunucunun hangi sürümü kullandığının ve bu sürümün resmî düzeltme alıp almadığının belirlenmesi gerekir.

1. Resmî güvenlik duyurusunu kontrol edin

Güncel bilgiler için PHP’nin resmî güvenlik duyuruları takip edilmelidir:

PHP resmî güvenlik duyurusu

Güncelleme yayımlandığında etkilenen sürümler, düzeltilmiş sürümler ve teknik açıklamalar bu duyuru üzerinden kontrol edilmelidir. PHP paketlerini işletim sistemi deposundan veya bir barındırma sağlayıcısından alan kullanıcılar, ilgili sağlayıcının güncellemesini de incelemelidir.

2. Güncellemeden önce yedek alın

Özellikle üretim ortamlarında PHP sürümünü değiştirmeden önce web dosyalarının, veritabanlarının ve önemli yapılandırma dosyalarının yedeği alınmalıdır.

Güncellemenin test ortamında denenmesi, kullanılan eklentilerin ve uygulamaların yeni sürümle uyumluluğunun kontrol edilmesi önerilir. Bununla birlikte kritik bir güvenlik açığı söz konusu olduğunda test süreci, gerekli güvenlik önlemlerini gereksiz yere geciktirmemelidir.

3. Destek dışı PHP sürümlerini yükseltin

Eski PHP sürümleri, güvenlik güncellemesi alamadıkları için daha büyük bir risk oluşturabilir. PHP’nin destek dışı bir sürümünü kullanan sistem yöneticileri, yalnızca tek bir açık için geçici çözüm aramak yerine desteklenen bir sürüme geçiş planlamalıdır.

Sürüm yükseltmesi hemen yapılamıyorsa sistemin internete açık olup olmadığı değerlendirilmelidir. Gerekli olmayan erişimler kapatılabilir, uygulama VPN arkasına alınabilir veya uygun bir web uygulaması güvenlik duvarıyla korunabilir. Bunlar riski azaltmaya yardımcı olsa da güvenlik yamasının yerini tutmaz.

4. Şüpheli süreçleri ve dosyaları inceleyin

Sunucuda beklenmedik süreç hareketleri görülürse yalnızca ilgili işlemi sonlandırmakla yetinilmemelidir. Web sunucusu ve PHP günlükleri korunmalı; web kök dizinindeki yeni dosyalar, olası webshell’ler, bilinmeyen kullanıcı hesapları ve zamanlanmış görevler incelenmelidir.

Bir ihlalden şüpheleniliyorsa sunucunun ağ erişimini kontrollü biçimde kısıtlamak ve olay müdahalesi sürecini başlatmak daha doğru olacaktır. Günlüklerin korunması, saldırının nasıl gerçekleştiğini anlamak ve tekrarını önlemek açısından önemlidir.

PHP2Shell saldırıları başladı mı?

İlk duyuruların yayımlandığı sırada Huntress, izlediği sistemlerde bu iki güvenlik açığının gerçek saldırılarda kullanıldığına ilişkin bir bulgu görmediğini bildirmişti. Ayrıca açıklar için doğrulanmış bir PoC yayımlanmış değildi.

Bununla birlikte, kamuya açıklanmamış güvenlik açıklarına ilişkin teknik bilgilerin sızması, saldırganların araştırmalarını hızlandırabilir. Düzeltmeler yayımlandıktan sonra saldırganların güncellemeleri inceleyerek savunmasız sistemleri belirlemeye çalışması, güvenlik alanında bilinen bir risktir.

Bu yüzden saldırıların henüz doğrulanmamış olması, sistemlerin güvenli olduğu anlamına gelmez. Özellikle internete açık sunucuların güncel tutulması ve olağan dışı süreç hareketlerinin izlenmesi gerekir.

Sonuç: PHP sunucularını güncel tutmak kritik önem taşıyor

PHP2Shell adıyla gündeme gelen CVE-2026-109618 ve CVE-2026-109619 açıkları, yaygın kullanılan bir yazılımın temel katmanında ortaya çıkan güvenlik sorunlarının ne kadar geniş bir etki alanına sahip olabileceğini gösteriyor.

Sistem yöneticileri için ilk adım, tüm PHP kurulumlarını belirlemek ve resmî güvenlik güncellemelerini takip etmek. Bunun yanında destek dışı sürümlerin internete açık olup olmadığını kontrol etmek, süreç hareketlerini izlemek ve olası bir ihlalde kullanılmak üzere günlükleri korumak da önem taşıyor.

En doğru yaklaşım, doğrulanmamış istismar yöntemlerine dayanarak tahminde bulunmak yerine resmî teknik açıklamaları izlemek ve etkilenen sürümler için yayımlanan düzeltmeleri gecikmeden uygulamaktır.

The post PHP2Shell Alarmı: Kritik Güvenlik Açıkları Sunucuları Tehdit Ediyor appeared first on inetmar Hosting & Teknoloji Blog Haber Sayfası.