GÜVENLİK BÜLTENİ · 22 EKİM 2026

PHP’de kritik açık: siteniz güvende mi

Web’in büyük kısmını çalıştıran PHP’de, hesap gerektirmeden sunucuda kod çalıştırmaya izin verebilen iki kritik açık kapatıldı. PHP2Shell adı verilen açıklar WordPress, WooCommerce, Joomla ve Magento dahil PHP ile çalışan her siteyi ilgilendiriyor. Çözüm bir eklenti değil, sunucudaki PHP’yi güncellemek. Ne olduğunu, sitenizin etkilenip etkilenmediğini ve bugün ne yapmanız gerektiğini sade bir dille anlattık.

Ne yapmalıyım? Sitemi birlikte kontrol edelim

NASIL GELİŞTİ · TÜRKİYE SAATİYLE

1 Ağu Calif ilk uzaktan kod çalıştırma yollarını buldu
11 Ağu İlk açık PHP güvenlik ekibine bildirildi
24 Ağu Wiz Research da açıkları bildirdi
20 Eki Ayrıntılar planlanan tarihten önce sızdı
21 Eki 06:02 Cloudflare koruma kurallarını herkes için açtı
21 Eki 17:00 PHP yamalı sürümleri yayımladı
21 Eki 17:19 İlk aktif saldırı girişimleri raporlandı

Kaynak: Sansec, Cloudflare, The Hacker News.

9,2 CVSS v4.0: İki açığın da PHP güvenlik ekibince verilen önem puanı (10 üzerinden).
%69,3 PHP: Sunucu dili bilinen web sitelerinde PHP kullananların oranı (W3Techs, 21 Ekim).
%39,6 WordPress: Bütün web siteleri içinde WordPress’in payı (W3Techs, 21 Ekim).
~884 bin eski PHP: Başlık bilgisinde PHP 8.1 ya da daha eskisini bildiren, internete açık sunucu (Mallory, 20 Ekim).

01 · NE OLDU

İki açık, tek istek, hesap gerekmiyor

Açıklar PHP’nin çekirdeğinde; yani sitenizin kodunda ya da eklentilerinde değil, sitenizi çalıştıran motorda. Saldırgan giriş yapmadan, özel hazırlanmış isteklerle sunucuda kendi kodunu çalıştırabiliyor. En yüksek risk Apache mod_php kurulumlarında gösterildi: bu senaryoda saldırı, sitenin kodu çalışmaya başlamadan önce tetikleniyor.

İKİ AÇIK

CVE-2026-109618

Bellek tükenince yarım kalan istek

PHP bir isteği hazırlarken belleği tükenirse işlem yarıda kesilebiliyor; temizlik sırasında yarım kalmış veri geçerliymiş gibi kullanılıyor. Sonuç uzaktan kod çalıştırma. Aynı açık, aynı sunucudaki başka isteklerden parola, oturum anahtarı ya da API anahtarı gibi bilgilerin sızmasına da yol açabiliyor.
CVE-2026-109619

Silinmiş belleğe güvenen sonraki istek

Bir isteğe ait iç bilgi, belleği boşaltıldıktan sonra da kalabiliyor; aynı PHP işlemine gelen bir sonraki istek bu bayat bilgiyi kullanabiliyor. Bilinen saldırı yolu, PHP’nin oturum tabanlı dosya yükleme ilerlemesi özelliğinden geçiyor.

KİM BULDU

Açıkları Calif, Wiz Research ve OpenAI araştırmacıları Ağustos 2026’da PHP’ye bildirdi. Düzeltmeler 22 Ekim’de yayımlanacaktı; ayrıntılar 20 Ekim’de sızınca yayın bir gün öne, 21 Ekim 17:00’ye çekildi.

02 · KİMLER ETKİLENİYOR

Web’e hizmet veren her PHP kurulumu

PHP’nin güvenlik duyurusuna göre web isteği karşılayan bütün PHP kurulumları etkileniyor. Belirleyici olan sitenizi hangi yazılımla kurduğunuz değil, sunucudaki PHP sürümü.

ETKİLENEN ÇALIŞMA BİÇİMLERİ

PHP-FPM
Apache mod_php
php-cgi
FrankenPHP
LiteSpeed

ÖRNEK UYGULAMALAR

WordPress
WooCommerce
Joomla
Drupal
Magento
Laravel
Symfony
phpMyAdmin
Nextcloud
WHMCS

PHP ile çalışan her uygulama; liste örnektir.

SÜRÜMÜNÜZ GÜVENDE Mİ?

PHP dalı	Güvenli sürüm	Durum
8.5	8.5.12 ve sonrası	Yamalı sürüm yayında
8.4	8.4.27 ve sonrası	Yamalı sürüm yayında
8.3	8.3.36 ve sonrası	Yamalı sürüm yayında
8.2	8.2.35 ve sonrası	Yamalı sürüm yayında; destek 31 Aralık 2026’da bitiyor
8.1 ve öncesi	—	Resmî yama yok; destekli bir sürüme geçin

Linux dağıtımları ve hosting firmalarının paketleri sürüm numarasını değiştirmeden yamayı içerebilir; emin olmak için paket notlarında CVE numarasına bakılır.

03 · ZAMAN BASKISI

Saldırganlar yamayı beklemedi

Cloudflare, yama yayımlanmadan saatler önce müşterilerine yönelik saldırı trafiği gördü ve koruma kurallarını ücretsiz plan dahil herkes için varsayılan olarak açtı. Saldırganların korumaları aşmak için saldırıyı değiştirdiği de gözlendi.

06:02

Cloudflare kuralları devrede

Yamadan yaklaşık 11 saat önce, ücretsiz plan dahil bütün müşteriler için.
17:19

Aktif saldırı girişimleri

watchTowr, yamadan 19 dakika sonra iki açığa yönelik istismar girişimleri gördü.
24 saat

Önceki örnek

2024’teki benzer PHP açığında (CVE-2024-4577) Akamai, duyurudan sonraki 24 saat içinde saldırı girişimleri gördü.

“Yılların en büyük açıklarından biri.”

Kevin Beaumont, güvenlik araştırmacısı (Help Net Security’nin aktardığı)

Bu tür açıklarda yamayla saldırı arasındaki süre gün değil, saat. Güncellemeyi “hafta sonu bakarız” diye ertelemek, siteyi açık kapıyla bırakmak demek. Bu yazının yayımlandığı saatte doğrulanmış bir ihlal bildirilmemişti; amaç, ilk bildirilenlerden biri olmamak.

04 · KONTROL

Sitem etkileniyor mu? Üç adımda bakın

Siteniz PHP ile mi çalışıyor?

WordPress, WooCommerce, Joomla, OpenCart ya da Magento ise evet. Emin değilseniz sitenizi kuran ekibe ya da hosting firmanıza sorun.
PHP sürümünüzü öğrenin

WordPress’te Araçlar › Site Sağlığı › Bilgi › Sunucu bölümünde yazar. cPanel’de “PHP Sürümü Seç” ya da MultiPHP, Plesk’te alan adının PHP ayarları ekranına bakın.
Yamalı mı, sorun

Sürüm 8.5.12, 8.4.27, 8.3.36 ya da 8.2.35’ten düşükse veya 8.1 ve öncesiyse hosting firmanıza iki CVE düzeltmesinin yüklü olup olmadığını sorun.

HOSTİNG FİRMANIZA GÖNDEREBİLECEĞİNİZ MESAJ

Merhaba, alanadi.com sitemin bulunduğu sunucudaki PHP, 21 Ekim 2026’da yayımlanan PHP2Shell düzeltmelerini (CVE-2026-109618 ve CVE-2026-109619) içeriyor mu? İçermiyorsa ne zaman güncelleneceğini ve güncellemeden sonra PHP servislerinin yeniden başlatılacağını teyit eder misiniz?

05 · NE YAPMALI

Bugün yapılacak yedi iş

PHP’yi güncelleyin

Tek tam çözüm bu: 8.5.12, 8.4.27, 8.3.36 ya da 8.2.35. WordPress’i ya da eklentileri güncellemek bu açığı kapatmaz.
Paneldeki paketlere bakın

cPanel, Plesk ve CloudLinux güncellenmiş PHP paketlerini yayımlamaya başladı. Sürüm numarası değişmeyebilir; paket notlarında CVE numarasını arayın.
Yeniden başlatın, doğrulayın

PHP-FPM, Apache ya da LiteSpeed yeniden başlatılmazsa eski kod çalışmaya devam eder. Ardından sitenin hangi PHP sürümüyle yanıt verdiğine bakın.
Güncelleyemiyorsanız geçici önlem

Oturum tabanlı yükleme ilerlemesini kapatmak ve istek boyutunu sınırlamak bilinen saldırı yollarını daraltır. Yamanın yerini tutmaz; ayarlar aşağıda.
Güvenlik duvarını açık tutun

Cloudflare’in koruması ücretsiz planda da açık; ama yalnız trafiği Cloudflare’den geçen alan adlarında çalışır. Ek katmandır, çözüm değildir.
Erişimi daraltın

Siber Güvenlik Başkanlığı, yönetim arayüzlerine erişimin güvenilir IP adresleriyle sınırlanmasını ve yurt dışı erişimi gerekmeyen sistemlerin uluslararası trafiğe kapatılmasını öneriyor.
İz arayın

Web dizininde tanımadığınız PHP dosyaları, yeni yönetici hesapları, yeni zamanlanmış görevler, tekrarlayan 500 ve bellek limiti hataları şüphe işaretidir. Şüphede sunucuyu izole edin, kayıtları saklayın, parolaları ve API anahtarlarını yenileyin.

TEKNİK EKİP İÇİN · GEÇİCİ AYARLAR

PHP’nin güvenlik duyurusundaki geçici önlemler. Bilinen yolları kapatır, tam koruma sağlamaz.

ini_set() ya da .user.ini ile yapmayın; istek ayrıştırılmadan önce devreye girmeyebilir.
RLIMIT_AS / RLIMIT_DATA kullanmayın; açığı tetikleyebilir. Kaynak sınırı için konteyner ya da cgroup kullanın.
Ayardan sonra bütün worker’ları yeniden başlatın.
memory_limit = -1 bellek korumasını kaldırır; sunucuyu izleyin, yamadan sonra geri alın.

; CVE-2026-109618 için (PHP-FPM havuzunda ya da Apache'de php_admin_value)
memory_limit = -1
post_max_size = 8M        ; dosya yükleme gerekiyorsa 32M

; CVE-2026-109619 için (php.ini ya da FPM havuzu)
session.upload_progress.enabled = 0
fatal_error_backtraces = 0  ; yalnız PHP 8.5

MARS CMS İLE KURDUĞUMUZ SİTELER

Bu açığın çalışacağı bir PHP katmanı yok

Mars CMS ile kurduğumuz sitelerde sunucuda PHP çalışmıyor. PHP2Shell gibi PHP’nin çekirdeğindeki bir açığın bu sitelerde hedef alacağı bir katman bulunmadığı için bugün bu siteler adına bir acil güncelleme gerekmedi.

01

Hazır sayfalar

Ziyaretçinin gördüğü sayfalar yayına alınırken üretilir ve küresel bir dağıtım ağından (CDN) sunulur. Bir istek geldiğinde sunucuda çalışan PHP ya da veritabanı sorgusu yoktur.
02

Panel siteden ayrı

İçerik paneli sitenizin alan adında değil, ayrı bir adreste çalışır. Sitenizde saldırganların taradığı /wp-admin gibi bir giriş kapısı bulunmaz.
03

Eklenti pazarı yok

Patchstack’e göre WordPress dünyasında 2025’te 11.334 yeni açık bulundu, büyük çoğunluğu eklentilerde. Mars CMS’te özellikler üçüncü taraf eklentiyle değil, platformun kendi kodunda gelir.
04

Güncelleme tek merkezden

Bütün siteler aynı altyapıda çalışır; bir güvenlik düzeltmesi tek seferde hepsine uygulanır. Site site, eklenti eklenti güncelleme beklenmez.

Hiçbir yazılım açıksız değildir; Mars CMS’in üzerinde çalıştığı Node.js ve bileşenlerinin güncellemelerini de izliyoruz. Fark, saldırıya açık yüzeyin küçük olması ve güncellemenin sizin değil bizim işimiz olması.

Mars CMS’i inceleyin Sitenizi taşıyalım

KAYNAKLAR

Bu yazıdaki durum bilgileri 21 Ekim 2026 akşamı itibarıyladır; gelişmeleri izleyip güncelleyeceğiz.

KİMİNLE ÇALIŞIRSINIZ

“Mars Creative'i bir ajans olarak değil, az sayıda markayla yan yana oturan bir ortak olarak kurduk. Hizmet satmıyoruz — özen ve uzun bakış sunuyoruz.”

Abdurrahman Tanrıverdi

Kurucu, Mars Creative

Görüşmeleri projenin kapsamına ve tercihinize göre yüz yüze ya da online yapıyoruz.

Tanışalım LinkedIn profili Kurucuyu tanıyın →

S.S.S.

PHP2Shell
hakkında sorular

Aradığınız cevap yoksa bize yazın; sitenize birlikte bakalım.

Bize yazın →

PHP2Shell nedir?

PHP’de 21 Ekim 2026’da kapatılan iki kritik güvenlik açığının (CVE-2026-109618 ve CVE-2026-109619) ortak adıdır. Açıklar, saldırganın hesap gerektirmeden PHP çalıştıran sunucuda kod çalıştırmasına imkân verebiliyor. PHP güvenlik ekibi ikisine de CVSS v4.0 ölçeğinde 9,2 önem puanı verdi.

WordPress’i ve eklentilerimi güncellemem yeterli mi?

Hayır. Açık WordPress’te ya da eklentilerde değil, sitenizi çalıştıran PHP’nin kendisinde. Sunucudaki PHP’nin 8.5.12, 8.4.27, 8.3.36 ya da 8.2.35’e (veya bu düzeltmeleri içeren pakete) güncellenmesi gerekir.

Paylaşımlı hostingdeyim, ne yapmalıyım?

PHP’yi hosting firmanız günceller. Firmanıza PHP2Shell düzeltmelerinin (CVE-2026-109618 ve CVE-2026-109619) yüklü olup olmadığını ve servislerin yeniden başlatıldığını sorun. Panelinizde PHP sürümü seçimi varsa desteklenen en güncel sürümü seçin.

Cloudflare kullanıyorum, güvende miyim?

Cloudflare ücretsiz plan dahil bütün müşterileri için koruma kurallarını varsayılan olarak açtı; bu önemli bir ek katman. Ama saldırganlar kuralları aşmaya çalışıyor ve koruma yalnız trafiği Cloudflare’den geçen alan adlarında çalışıyor. PHP’yi yine de güncellemeniz gerekir.

PHP 7.4, 8.0 ya da 8.1 kullanıyorum, ne olacak?

Bu sürümler için PHP projesinden resmî güncelleme çıkmıyor; kaynaktan derleyenler için asgari yamalar yayımlandı ve bazı hosting firmaları ile dağıtımlar düzeltmeyi kendi paketlerine taşıyabilir. En doğrusu desteklenen bir sürüme geçmek; 8.2’nin desteği 31 Aralık 2026’da bittiği için 8.3 ve üstü daha uzun süre güvende kalır.

Mars CMS ile kurulan siteler etkilendi mi?

Hayır. Mars CMS ile kurduğumuz sitelerde sunucuda PHP çalışmıyor; sayfalar yayına alınırken üretilip dağıtım ağından sunuluyor. PHP’nin çekirdeğindeki bu açığın hedef alacağı bir katman bulunmuyor.

BİRLİKTE BAKALIM

Sitenizi birlikte kontrol edelim

Bize yazın: sitenizin hangi PHP sürümüyle çalıştığına ve bu açıktan etkilenip etkilenmediğine bakalım, ne yapılması gerektiğini söyleyelim.

Bize yazın Mars CMS

PHP’de kritik açık: siteniz güvende mi

İki açık, tek istek, hesap gerekmiyor

Bellek tükenince yarım kalan istek

Silinmiş belleğe güvenen sonraki istek

Web’e hizmet veren her PHP kurulumu

Saldırganlar yamayı beklemedi

Sitem etkileniyor mu? Üç adımda bakın

Siteniz PHP ile mi çalışıyor?

PHP sürümünüzü öğrenin

Yamalı mı, sorun

Bugün yapılacak yedi iş

PHP’yi güncelleyin

Paneldeki paketlere bakın

Yeniden başlatın, doğrulayın

Güncelleyemiyorsanız geçici önlem

Güvenlik duvarını açık tutun

Erişimi daraltın

İz arayın

Bu açığın çalışacağı bir PHP katmanı yok

Hazır sayfalar

Panel siteden ayrı

Eklenti pazarı yok

Güncelleme tek merkezden

KİMİNLE ÇALIŞIRSINIZ