Şirketinizin web sitesi veya online mağazası WordPress, Magento, Laravel ya da PHP tabanlı başka bir sistemle çalışıyorsa, hosting firmanızdan veya teknik ekibinizden bugün PHP'yi 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümüne güncellemesini ve ardından sunucuyu yeniden başlatmasını isteyin. PHP projesi bu sürümleri 21 Ekim 2026 tarihinde, PHP2Shell adı verilen ve her biri 10 üzerinden 9.2 puan alan iki kritik açığı kapatmak için yayımladı. Bu açıklar bir saldırganın hiçbir şifre olmadan sunucunuzda komut çalıştırmasına izin veriyor. Suudi Arabistan Ulusal Siber Güvenlik Otoritesi (NCA) aynı gün güncellemeyi öneren «kritik» bir uyarı yayımladı ve güvenlik şirketleri düzeltme yayımlanmadan saatler önce istismar girişimleri gördü.

Tam olarak ne oldu?

İki açık CVE-2026-109618 ve CVE-2026-109619 numaralarını taşıyor ve bir eklentide ya da temada değil, PHP dilinin kendisinde bulunuyor. Asıl fark bu: saldırganların haritasına dönüşen WordPress düzeltmeleri hakkındaki önceki yazımızda hata, PHP'nin üzerinde çalışan bir yazılımdaydı. Burada ise hata, tüm bu yazılımların üzerinde durduğu temelde. Bu yüzden güncel bir WordPress ya da az sayıda eklenti sizi korumuyor.

PHP'nin ilk güvenlik bildirimine göre ilk açık, bir isteğin hazırlanırken belleği tükendiğinde ortaya çıkıyor ve PHP yarım başlatılmış verileri geride bırakıp sonra bunları geçerli sayıyor. İkinci bildirime göre diğer açık, önceki bir isteğe ait verileri serbest bırakıldıktan sonra ortada bırakıyor ve aynı işlemdeki sonraki istek bunları kullanıyor. İki durumda da sonuç aynı: dikkatle hazırlanmış tek bir web isteği, sunucuda komut çalıştırmaya yetiyor.

Wiz Research bu açıkları yapay zekâ modellerinin yardımıyla buldu. Ekibin raporu, açıkları 19 Ağustos 2026 tarihinde keşfettiğini, 24 Ağustos'ta PHP ekibine bildirdiğini ve 5.4'ten bu yana her PHP sürümünün en az birinden etkilendiğini söylüyor. Wiz, PHP'nin web sitelerinin yaklaşık %70'ini çalıştırdığını tahmin ediyor.

Sitem etkileniyor mu?

PHP ile çalışıyorsa ve sürümü yukarıdaki numaralardan eskiyse büyük olasılıkla evet. Wiz, varsayılan kurulumlarıyla WordPress, Drupal ve Joomla üzerinde oturum açmadan uzaktan kod çalıştırmayı gösterdi. Sansec ise analizinde listeyi Magento 2.4.9, WordPress 7.1.2, Laravel 13.11, Symfony 8.1, phpMyAdmin, Nextcloud ve WHMCS dahil 11 platforma genişletti.

PHP sürümünüzü öğrenmek için hosting panelinizi (cPanel, Plesk veya benzeri) açıp «PHP Version» bölümüne bakın ya da ekibinize sorun. İki noktaya dikkat edin:

  • 8.1 ve daha eski sürümler artık desteklenmiyor ve düzeltme almayacak. PHP'nin desteklenen sürümler tablosuna göre şu anda desteklenen dallar yalnızca 8.2, 8.3, 8.4 ve 8.5.
  • 8.2 dalının kendisi de güvenlik desteğini 31 Aralık 2026 tarihinde, yani iki buçuk ay sonra kaybediyor. Şimdi güncelleyecekseniz 8.4 veya 8.5'e geçin ve yakında ikinci bir yükseltmeden kurtulun.

Bugün ne yapmalı: beş adım

  1. PHP'nin çalıştığı her yeri bulun. Web sitesi, mağaza, yönetim paneli ve her iç sistem ya da müşteri portalı. Birçok şirket hâlâ yayında olan eski bir siteyi unutuyor.
  2. Yamalı bir sürüme güncelleyin. 8.5.12, 8.4.27, 8.3.36 veya 8.2.35. Paylaşımlı hostingde firmanıza yazılı olarak sorun: 21 Ekim güncellemesini uyguladınız mı?
  3. Güncellemeden sonra PHP'yi yeniden başlatın. PHP bildirimi, yeniden başlatılmamış bir işlemin eski kodda kaldığını belirtiyor; yani güncellemeyi indirmek yetmez.
  4. Siteniz 8.1 veya daha eski bir sürümdeyse, yükseltmeyi bu haftaya planlayın ve önce bir test kopyasında deneyin, çünkü bazı eski eklentiler çalışmayabilir.
  5. Kayıtları kontrol edin. Wiz; ardından bellek yetersizliği hataları gelen olağandışı yükleme isteklerini, tekrarlanan HTTP 500 hatalarını veya aşırı büyük ya da bozuk oturum çerezlerini (PHPSESSID) aramanızı öneriyor.

Bugün güncelleyemiyorsanız

PHP bildirimleri riski azaltan ama güncellemenin yerini tutmayan geçici önlemler öneriyor: session.upload_progress.enabled ayarını 0 yaparak kapatmak ve tüm işlemleri yeniden başlatmak, 8.5 sürümünde ise fatal_error_backtraces ayarını 0 yapmak. Siteniz hiç dosya yüklemesi kabul etmiyorsa, multipart istekleri ön sunucuda engelleyebilirsiniz.

Siteniz Cloudflare arkasındaysa, şirket blogunda bu açıklar için güvenlik duvarı kurallarını 21 Ekim günü UTC 3:02'den itibaren, yani açıklamadan yaklaşık 9 saat önce, ücretsiz dahil tüm paketlerde devreye aldığını söylüyor. Ancak Cloudflare'in kendisi bu korumaya rağmen PHP'nin yamalanmasını tavsiye ediyor, çünkü saldırganlar yöntemlerini sürekli değiştiriyor.

Origami'nin görüşü

Bu açık, site güvenliğinin WordPress'i ve eklentilerini güncellemekle bitmediğini hatırlatıyor. Her sitenin altında bir programlama dili, bir sunucu ve ayarlar var ve hepsinin takip edilmesi gerekiyor. Şirketlerde sık gördüğümüz durum, yıllar önce kurulmuş ve artık kimsenin hangi PHP sürümüyle çalıştığını ya da güncelleme yetkisinin kimde olduğunu bilmediği bir site. Durumunuz buysa, soru artık «güncellemeli miyiz?» değil, «bugün kim güncelleyecek?» sorusu. Origami olarak web siteleri ve sistemler kuruyor, güncellemelerini ilk günden takip ediyoruz. Sitenizi kontrol ettirmek veya PHP'yi kesinti olmadan yükseltmek isterseniz bizimle iletişime geçin.

Kaynaklar