Ekim 2026'da PHP'nin çekirdeğinde iki kritik güvenlik açığı duyuruldu. Haberlerde "PHP2Shell" adıyla da geçiyor. İnternetteki çok sayıda site PHP ile çalıştığı için konu hızla gündeme geldi. Siteniz varsa ilk sorunuz muhtemelen şu: bu açık beni etkiler mi? Bu yazıda teknik ayrıntıya boğmadan, ne olduğunu ve ne yapmanız gerektiğini anlatıyoruz.
PHP güvenlik açığı tam olarak ne?
PHP Foundation'ın duyurusuna göre iki açık var: CVE-2026-109618 ve CVE-2026-109619. İkisi de uzaktan kod çalıştırmaya (RCE) yol açabiliyor. Yani kötü niyetli biri, uygun koşullarda sunucunuzda kendi komutlarını çalıştırmayı deneyebilir. Açıkların ciddiyet puanı 9.2 ile kritik seviyede.
Vakıf, yayın sırasında çalışan bir saldırı kodu tespit etmediğini söylüyor. Ancak bilgilerin sızması sonrası kavram kanıtı (proof-of-concept) kodların dolaşmaya başladığını da belirtiyor. Bu yüzden önerisi net: bir an önce güncelleyin.
Hangi PHP sürümleri güvenli?
Açıkları kapatan sürümler şunlar:
PHP serisi | Yamalı sürüm |
|---|---|
PHP 8.5 | 8.5.12 |
PHP 8.4 | 8.4.27 |
PHP 8.3 | 8.3.36 |
PHP 8.2 | 8.2.35 |
Bu tablodaki sürümlerin altında kalıyorsanız, ya da bu serilerin dışında eski bir PHP kullanıyorsanız, sunucunuzun güncellenmesi gerekir.
Sitenizin etkilenip etkilenmediğini nasıl anlarsınız?
WordPress ve benzeri PHP tabanlı siteler
WordPress, WooCommerce ve birçok hazır site yazılımı PHP ile çalışır. Siteniz bunlardan biriyle yapıldıysa konu sizi doğrudan ilgilendirir. Önemli olan, sitenin değil sunucunun PHP sürümüdür. Hosting panelinizde "PHP sürümü" ya da "PHP seçici" bölümünden hangi sürümü kullandığınızı görebilirsiniz.
Paylaşımlı hosting kullananlar
Paylaşımlı hostingde PHP'yi barındırma firması yönetir. Firmanıza yazıp güvenlik yamasını uyguladıklarını sorun. Panelde sürümü seçebiliyorsanız, yamalı sürüme geçin.
Kendi sunucusu olanlar
VPS ya da özel sunucuda PHP'yi paket yöneticisiyle güncellemek size kalır. Sunucuda hangi sürümün çalıştığını kontrol edin ve yukarıdaki yamalı sürümlere geçin.
PHP kullanmayan siteler
Siteniz PHP ile çalışmıyorsa bu iki açıktan doğrudan etkilenmezsiniz. Örneğin Next.js ve Node.js ile yapılan siteler PHP'ye ihtiyaç duymaz. Valtor Digital olarak kendi sitemiz de PHP kullanmıyor. Yine de aynı sunucuda başka bir PHP uygulaması çalışıyorsa, o uygulamanın güvenliğini ayrıca kontrol etmek gerekir.
Sitenizin hangi teknolojiyle çalıştığından emin değil misiniz? Bize yazın, hosting ve yazılım altyapınıza birlikte bakalım.
Güncelleme sırasında nelere dikkat etmeli?
Önce yedek alın. Dosyaları ve veritabanını ayrı bir yere yedekleyin.
Eklentilerinizi ve temanızı da güncelleyin. Yeni PHP sürümüyle uyumsuz eski eklentiler siteyi bozabilir.
Güncellemeden sonra siteyi gezin. Ana sayfa, iletişim formu ve ödeme gibi kritik adımları test edin.
Beklemeyin. Kritik açıklarda en güvenli yol, yamayı mümkün olan en kısa sürede uygulamaktır.
Güvenlik neden yalnızca teknik bir konu değil?
Ele geçirilen bir site yalnızca veri riskine girmez. Ziyaretçilere zararlı yönlendirmeler gösterebilir, arama motorlarında uyarı alabilir ve SEO çalışmalarınızın değerini düşürebilir. Reklam veriyorsanız bozuk ya da güvensiz bir sayfa reklam bütçenizin boşa gitmesine de yol açar. Bu yüzden altyapıyı güncel tutmak, tasarım ve içerik kadar önemlidir.
Yeni bir site planlıyorsanız
Teknoloji seçimi güvenliği de etkiler. Bakımı kolay, güncellemesi düzenli yapılan bir altyapı, bu tür gündemlerde sizi rahat bırakır. Web tasarım projelerinde ihtiyacınıza göre en uygun yöntemi birlikte seçiyoruz. Mobil tarafta da mobil uygulama geliştirirken güvenlik ve güncellenebilirliği baştan düşünüyoruz. Nasıl çalıştığımızı hakkımızda sayfasından okuyabilirsiniz.
Sıkça sorulan sorular
PHP güvenlik açığı bütün web sitelerini etkiler mi?
Hayır. Yalnızca PHP çalıştıran sunucuları ilgilendirir. WordPress gibi PHP tabanlı siteler etkilenebilir; PHP kullanmayan siteler bu iki açıktan doğrudan etkilenmez.
Sitem hacklendi mi, nasıl anlarım?
Açığın duyurulması, sitenizin saldırıya uğradığı anlamına gelmez. Yine de beklenmedik yönlendirmeler, tanımadığınız yeni kullanıcılar ya da bilmediğiniz dosyalar görüyorsanız hosting firmanıza ve bir uzmana danışın.
PHP'yi güncellemek sitemi bozar mı?
Yamalı sürüm aynı serinin güvenlik güncellemesidir; bozulma ihtimali düşüktür. Ancak eski eklenti ve temalar sorun çıkarabilir. Bu yüzden önce yedek alıp sonra siteyi test etmek gerekir.
Hostingim PHP'yi otomatik günceller mi?
Bu hosting firmasına göre değişir. Bazıları otomatik uygular, bazıları sürümü sizin seçmenizi bekler. Hosting firmanıza yazıp netleştirmek en doğrusu.
Bu konuda destek alabilir miyim?
Evet. Sitenizin altyapısına bakıp güncelleme sürecinde yol göstermek için iletişim sayfasından bize ulaşabilirsiniz.
Sonuç
PHP'deki bu iki kritik açık, PHP çalıştıran siteler için ciddiye alınması gereken bir durum. Sürümünüzü kontrol edin, yamalı sürüme geçin ve geçmeden önce yedek alın. PHP kullanmayan bir siteniz varsa doğrudan etkilenmiyorsunuz, ama aynı sunucudaki diğer uygulamaları gözden geçirmekte fayda var. Genel bilgi verdiğimizi unutmayın; kritik bir sistem için sunucu yöneticinizle ya da bir güvenlik uzmanıyla konuşun.
