PHP’de uzaktan kod çalıştırmaya izin veren iki kritik açık bulundu ve yamalandı. Siteniz PHP veya WordPress üzerinde çalışıyorsa ne yapmanız gerektiğini, hosting’inize ne soracağınızı ve bakım yükünü nasıl azaltacağınızı anlattık.

PHP2Shell: PHP Açığı Sitenizi Etkiliyor mu? Esnaf İçin Rehber

20-21 Ekim 2026'da PHP'de iki kritik güvenlik açığı gündeme geldi. PHP2Shell adıyla anılan bu açıklar, giriş yapmamış bir saldırganın bile sunucuda kod çalıştırmasına izin verebiliyor. Siteniz WordPress veya başka bir PHP altyapısında çalışıyorsa bu haber sizi ilgilendiriyor.

Bu yazı ne yapmanız gerektiğini sade bir dille anlatmak için yazıldı.

Güncelleme (22 Ekim 2026): PHP ekibi yamalı sürümleri 21 Ekim'de yayınladı. Gelişmelere göre bu yazıyı güncelliyoruz.

Sık Sorulan Sorular

PHP2Shell nedir? PHP'nin kendisindeki iki açığın ortak adı (CVE-2026-109618 ve CVE-2026-109619). İkisi de 10 üzerinden 9,2 puanla kritik seviyede ve uzaktan kod çalıştırmaya yol açabiliyor.

Hangi sürümler etkileniyor? PHP 5.4'ten 8.5.11'e kadar tüm sürümler.

Hangi sürümlerde düzeltildi? PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde.

WordPress siteleri etkileniyor mu? Açık WordPress'te değil, PHP'nin kendisinde. Ama WordPress PHP üzerinde çalıştığı için, hosting'inizdeki PHP güncellenmedikçe risk devam eder.

Ben ne yapmalıyım? PHP sürümünüzü öğrenin, hosting'inizden yamalı sürüme geçmesini isteyin veya kendiniz geçin. Eski bir PHP sürümü kullanıyorsanız yükseltme planlayın.

Sayfan.tr sitelerim bu açıktan etkileniyor mu? Hayır. Sayfan sitelerinin altyapısında PHP kullanılmıyor (ön yüz React, veri Supabase üzerinde). PHP2Shell, PHP çalıştıran sunucuları hedefliyor. Siteniz için PHP yaması takip etmeniz gerekmiyor.

Ne Oldu?

PHP, internetteki sitelerin büyük bölümünün çalıştığı bir yazılım dili. Güvenlik araştırmacıları, PHP'nin bellek yönetiminde iki kusur buldu. Biri, bellek dolduğunda PHP'nin yarım kalmış verileri geçerliymiş gibi işlemesi. Diğeri, kullanılmış belleğe ait verilerin sonraki bir istekte yeniden kullanılması.

Bu açıkların ayrıntıları, yama yayınlanmadan önce internete sızdı. Yama ertesi gün geldi. Araştırmacılar, tek bir kimliksiz isteğin saldırıyı tetikleyebildiğini gösterdi. Bu yüzden güvenlik kurumları, hemen yamalanamayan sistemlerin geçici olarak kapatılmasının düşünülmesini önerdi.

Siteniz Etkileniyor mu?

Hosting'inizde PHP çalışıyorsa evet, potansiyel olarak. PHP üzerinde çalışan yaygın altyapılar:

WordPress
Joomla
Laravel tabanlı siteler
OpenCart, PrestaShop gibi e-ticaret yazılımları
Eski, özel yazılmış PHP siteleri

PHP sürümünüzü nasıl öğrenirsiniz?

WordPress'te: Yönetim panelinde Araçlar > Site Sağlığı > Bilgi > Sunucu bölümüne bakın. PHP sürümü orada yazar.

Hosting panelinde: cPanel gibi panellerde genellikle bir PHP sürüm seçici bulunur.

Bilmiyorsanız: Siteyi kuran kişiye veya hosting destek ekibine sorun.

Sürümünüz yukarıdaki yamalı sürümlerden eskiyse (örneğin 8.3.31 veya 8.4.22) siteniz henüz yamalanmamış demektir. Not: bazı hosting sağlayıcıları sürüm numarasını değiştirmeden yamayı eklediği için, emin olmak için hosting'inize sormak en doğrusu.

Ne Yapmalısınız?

PHP sürümünüzü öğrenin. Yukarıdaki yöntemlerle.
Hosting'inize sorun. "PHP2Shell (CVE-2026-109618 ve CVE-2026-109619) için sunucumdaki PHP güncellendi mi?" Paylaşımlı hosting kullanıyorsanız çoğu sağlayıcı yamayı kendisi uygular, ama doğrulamak sizin hakkınız.
Kendi sunucunuz varsa PHP paketlerini güncelleyip PHP servisini yeniden başlatın. Docker kullanıyorsanız imajı yeniden çekip konteyneri yeniden oluşturmanız gerekir, sunucudaki güncelleme konteynerin içindekini değiştirmez.
Eski PHP kullanıyorsanız yükseltin. PHP 8.1 ve öncesi artık resmi destek almıyor. PHP 8.2'nin desteği de 31 Aralık 2026'da bitiyor.
Cloudflare kullanıyorsanız bilinen saldırı yollarına karşı ek koruma kuralları devrede. Bu yamanın yerine geçmez, ek bir katman.

Sitenizde Sorun Var mı? Nelere Dikkat Etmeli?

Açık, yama çıkmadan önce bilindiği için bu arada saldırı denemeleri olmuş olabilir. Şu belirtilere dikkat edin:

Yüklemediğiniz dosyalar veya klasörler
Google'da sitenizle ilgili alakasız, spam görünümlü sayfalar
Ziyaretçilerin başka sitelere yönlendirilmesi
Hosting sağlayıcısından gelen güvenlik uyarıları
Yönetim panelinde tanımadığınız kullanıcılar

Bunlardan birini görürseniz panikle hareket etmeyin: hosting destek ekibine bildirin, düzenli bir yedeğiniz varsa temiz bir yedekten dönmeyi değerlendirin, yönetim şifrelerinizi değiştirin.

Ajanslar ve Freelancer'lar İçin Not

Müşterilerinizin sitelerini yönetiyorsanız şunları kontrol edin:

Hangi müşterinin sitesi hangi sunucuda, hangi PHP sürümünde?
Hosting yamalarını kim takip ediyor, siz mi hosting firması mı?
Bakım sözleşmenizde bu tür acil güncellemeler kimin sorumluluğunda?

Bu envanter, bir sonraki acil güvenlik haberinde zaman kazandırır.

Hosting'inize Sorabileceğiniz Sorular

Sunucumda şu an hangi PHP sürümü çalışıyor?
PHP2Shell yaması uygulandı mı, ne zaman?
Güncellemeler otomatik mi, yoksa benim tetiklemem mi gerekiyor?
Güvenlik olaylarında beni nasıl bilgilendiriyorsunuz?

Asıl Sorun: Bakım Yükü

Bu olay bir gerçeği hatırlatıyor: kendi sunucusunda veya hosting'inde PHP çalıştıran her site, yama takibi gerektiriyor. Bir esnaf için bu, kendi işinin dışında bir sorumluluk.

Sitenizin görevi sadece işletmenizi tanıtmak, hizmetlerinizi ve iletişim bilgilerinizi göstermek, randevu almaksa, kendi sunucunuzu yönetmenize gerek olmayabilir.

Sayfan.tr bu yaklaşımla çalışıyor:

Sayfan PHP kullanmıyor: ön yüz React, veritabanı Supabase üzerinde. PHP sürümü, eklenti güncellemesi veya sunucu yaması takip etmek zorunda kalmıyorsunuz
Sektörünüzü seçip işletme adınızı yazarak, yapay zeka destekli içerikle sitenizi dakikalar içinde kuruyorsunuz
Pro pakette statik site dışa aktarma ile sitenizi kendi hosting'inize de alabilirsiniz. Dışa aktarılan dosyalar PHP gerektirmez

Paket	Fiyat	İçerik
Ücretsiz	0 TL (süresiz)	Mobil uyumlu sayfa, AI Türkçe içerik, 4 hizmete kadar
Kurulum Paketi	999 TL (tek seferlik)	WhatsApp, Google Harita, 30+ tema, sınırsız hizmet, SSS, KVKK metni
Pro (isteğe bağlı)	249 TL/ay	QR menü, randevu sistemi, dijital kartvizit, site export, kendi alan adında yayın

Dürüst not: Sayfan her site için uygun değil. Özel yazılım, karmaşık e-ticaret veya özel işlevler gerekiyorsa WordPress veya özel bir çözüm daha uygun olabilir. Mevcut siteniz işinizi görüyorsa taşınmak zorunda değilsiniz, önce yamalayın. Bu yazı PHP açığıyla ilgili. Hiçbir yazılım güvenlik güncellemesinden bağımsız değildir, Sayfan'da da altyapı güncellemelerini biz takip ediyoruz.

Özet

PHP2Shell, PHP'nin kendisindeki iki kritik açık. PHP 5.4'ten 8.5.11'e kadar tüm sürümleri etkiliyor
Yamalı sürümler: 8.5.12, 8.4.27, 8.3.36, 8.2.35
Yapmanız gereken: sürümünüzü öğrenin, hosting'inize sorun, eski PHP'den yükseltin
Uzun vadede bakım yükünü azaltmak istiyorsanız, sunucu yönetimi gerektirmeyen bir yapıyı değerlendirin

Yapay zeka ile site kurma seçeneklerinin genel karşılaştırması için ana rehberimize bakabilirsiniz.

👉 Sayfan.tr'de ücretsiz sitenizi oluşturun

Bu yazı genel bilgi amaçlıdır. Sunucunuzun durumu için hosting sağlayıcınıza veya sistem yöneticinize danışın.