WordPress siteniz bu açıktan büyük ihtimalle etkileniyor, ama sorun WordPress'te değil, onu çalıştıran PHP'de. Ekim 2026'da duyurulan ve "PHP2Shell" adıyla anılan iki açık, PHP'nin kendisinde bulundu. Bu yüzden WordPress'i, eklentileri ya da temayı güncellemek tek başına korumaz. Korumanın yolu, sunucudaki PHP sürümünü yamalı sürüme yükseltmek. Bu yazıda neyin olduğunu, sitenizin risk altında olup olmadığını nasıl anlayacağınızı ve kime ne soracağınızı sade bir dille anlatıyoruz.
Yazı genel bilgilendirme amaçlıdır. Sunucunuzda işlem yapmadan önce barındırma firmanızla ya da sitenizi yöneten ekiple konuşun.
Ne oldu? PHP2Shell kısaca
PHP, web sitelerinin sunucu tarafında çalışan bir programlama dili. Ziyaretçi bir sayfayı açtığında sayfayı hazırlayan, formdan gelen bilgiyi işleyen, veritabanıyla konuşan kodun büyük kısmı PHP ile yazılıyor. W3Techs'in ölçümüne göre sunucu tarafı dili bilinen sitelerin yaklaşık yüzde 70'i PHP kullanıyor. WordPress, Joomla, Drupal, OpenCart, PrestaShop, WooCommerce ve Laravel ile yazılmış özel yazılımlar bu grubun içinde.
Açıklar iki ayrı kayıt numarasıyla yayımlandı: CVE-2026-109618 ve CVE-2026-109619. İkisinin de önem puanı 10 üzerinden 9,2. Birincisi, PHP'nin bellek sınırına takılan bir isteği yarıda bırakırken bozuk veri artığı bırakmasıyla ilgili. İkincisi, işi biten istek bilgisinin bellekte yanlışlıkla yeniden kullanılması. Bu ikincisi şifre gibi gizli bilgilerin sızmasına da yol açabiliyor.
Teknik ayrıntının sizi ilgilendiren kısmı şu: saldırganın siteye giriş yapmasına, bir eklentinin açığını bulmasına ya da yönetici şifresini bilmesine gerek yok. Özel hazırlanmış bir istekle sunucuda kendi kodunu çalıştırabiliyor. Güvenlik dilinde buna "kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma" deniyor ve açık türleri arasında en ağır olanı.
Yamalı sürümler 21 Ekim 2026'da çıktı. Yayın aslında bir gün sonraya planlanmıştı, ayrıntılar erken sızınca öne çekildi. Wiz araştırmacıları açığın WordPress ve Drupal sitelerinde gerçekten kod çalıştırdığını doğruladı. WordPress güvenlik firması Patchstack de aktif saldırı bildirimleri aldığını açıkladı. Avrupa Birliği'nin siber güvenlik ekibi CERT-EU ve İngiltere Ulusal Siber Güvenlik Merkezi, yama yapılamayan sitelerin geçici olarak kapatılmasını bile önerdi. Türkiye'de de resmi uyarılar yayımlandı.
Neden WordPress güncellemesi yetmiyor?
Bir web sitesini katlı bir bina gibi düşünün. En üstte gördüğünüz kat var: tema, sayfalar, yazılar. Onun altında WordPress'in kendisi ve eklentiler duruyor. En altta ise binanın elektrik tesisatı gibi her şeyi çalıştıran PHP ve sunucu yazılımı var.
Şimdiye kadar duyduğunuz WordPress açıklarının çoğu üst katlardaydı: bir eklentide, bir temada. Onları WordPress panelindeki "Güncelle" düğmesi çözüyordu. Bu sefer sorun tesisatta. Panelden ne kadar güncelleme yaparsanız yapın, alttaki PHP eski sürümde kaldıkça kapı açık kalır. PHP'yi panelden değil, sunucu tarafından güncellemek gerekiyor. Paylaşımlı hostingde bunu barındırma firması, kendi sunucunuzda ise sunucuyu yöneten kişi yapar.
Ters yönde de bir yanılgı var: "Benim sitem küçük, kim uğraşsın?" Bu tür saldırılar kişi seçmez. Otomatik tarayıcılar internetteki tüm adresleri sırayla dener, açık bulduğu her siteye girer. Sitenizin ziyaretçi sayısı, sektörü ya da büyüklüğü bu taramada fark yaratmaz.
Hangi siteler etkileniyor, hangileri etkilenmiyor?
Kural basit: sunucusunda PHP çalışan her site risk altında. Liste kabaca şöyle:
- Etkilenir: WordPress ve WooCommerce, Joomla, Drupal, OpenCart, PrestaShop, Magento, Laravel ya da CodeIgniter ile yazılmış özel yazılımlar, PHP ile yazılmış eski kurumsal siteler.
- Etkilenme biçimi sunucuya bağlı: PHP'nin sunucuda hangi yöntemle çalıştığı riskin boyutunu değiştiriyor. Araştırmalar en yüksek riskin Apache'nin eski "mod_php" kurulumunda olduğunu söylüyor. PHP-FPM, CGI, LiteSpeed ve FrankenPHP de etkilenen kurulumlar arasında.
- Etkilenmez: PHP kullanmayan altyapılar. Node.js, Next.js, Python ya da .NET ile çalışan sitelerin sunucusunda PHP yoksa bu açık onları ilgilendirmez.
- İşi platformun yaptığı hizmetler: Sunucusunu sizin değil, platformun yönettiği hazır site kurucularda yamayı platformun kendisi yapar. Yine de hizmet sağlayıcınızın bu konuda açıklama yapıp yapmadığına bakmakta fayda var.
Bugün kurduğumuz siteler Next.js ile çalışıyor ve sunucularında PHP hiç bulunmuyor. Bu yüzden bu açık onları etkilemiyor. Ama geçmişte WordPress'te kurulmuş, hâlâ eski hostinginde duran siteler için aynı şeyi söyleyemeyiz. Asıl risk de orada.
Hangi sürüm güvenli?
PHP ekibinin 21 Ekim'de yayımladığı yamalı sürümler şunlar:
- PHP 8.5 kullanıyorsanız: 8.5.12 ve üstü
- PHP 8.4 kullanıyorsanız: 8.4.27 ve üstü
- PHP 8.3 kullanıyorsanız: 8.3.36 ve üstü
- PHP 8.2 kullanıyorsanız: 8.2.35 ve üstü (bu sürüm hattının desteği 31 Aralık 2026'da bitiyor)
PHP 8.1, 8.0, 7.4 ve daha eski sürümler için resmi bir yama yayımlanmadı. Bu sürümlerin desteği zaten bitmişti. Etkilenen sürümler PHP 5.4'e kadar geri gidiyor. Bazı Linux dağıtımları ve barındırma firmaları eski sürümler için kendi yamalarını hazırlıyor, ama buna güvenmek yerine desteklenen bir sürüme geçmek kalıcı çözüm. VulnCheck'in taramasına göre internete açık 2,6 milyondan fazla PHP sunucusu var ve bunların 1 milyondan fazlası resmi yaması olmayan eski sürümlerde çalışıyor.
Sitenizin PHP sürümünü 2 dakikada öğrenin
WordPress kullanıyorsanız teknik bilgiye gerek yok. Yönetim paneline girin ve şu yolu izleyin:
- Sol menüden Araçlar → Site Sağlığı sayfasını açın.
- Üstteki Bilgi sekmesine geçin.
- Sunucu başlığına tıklayın. "PHP sürümü" satırında sitenizin kullandığı sürüm yazar.
Gördüğünüz numarayı yukarıdaki listeyle karşılaştırın. Örneğin 8.3.30 yazıyorsa sürüm hattınız doğru ama yama yapılmamış. 7.4 ya da 8.1 yazıyorsa yamadan önce sürüm yükseltmesi gerekiyor. cPanel kullanıyorsanız aynı bilgiyi "PHP Sürümünü Seç" ya da "MultiPHP Yöneticisi" ekranında da görebilirsiniz. Bu ekran yalnız hat numarasını (8.3 gibi) gösterir, yamanın yapılıp yapılmadığını göstermez. Kesin bilgi için Site Sağlığı ekranına ya da barındırma firmanıza başvurun.
Paylaşımlı hostingdeyseniz: firmanıza sorulacak 3 soru
Türkiye'deki küçük ve orta ölçekli sitelerin çoğu paylaşımlı hostingde duruyor. Bu durumda PHP'yi siz değil, barındırma firmanız günceller. Firmanıza destek talebi açıp şu üç soruyu sorun:
- Sitemin çalıştığı sunucuda PHP, CVE-2026-109618 ve CVE-2026-109619 için yamalı sürüme güncellendi mi? Güncellendiyse hangi sürümde?
- Sitem desteği bitmiş bir sürümde (8.1 veya altı) çalışıyorsa, bu sürüm için yama uyguladınız mı, yoksa geçici bir ayar mı yaptınız?
- Hesabımdaki tüm alan adları ve alt klasörler aynı PHP sürümünü mü kullanıyor?
İkinci soru önemli. Haberlere yansıyan bilgilere göre bazı firmalar kalıcı yama yerine geçici yapılandırma değişiklikleriyle yetindi. Geçici ayar ilk anda işe yarar, ama sitenizi desteklenen bir sürüme taşımanın yerini tutmaz. Üçüncü soru ise çoğu kişinin aklına gelmeyen bir riske işaret ediyor.
Unutulmuş kurulumlar: asıl tehlike nerede?
Aynı hosting hesabında çoğu zaman tek bir site durmaz. Yıllar önce denenmiş bir test kurulumu, eski sitenin yedeği, kampanya için açılıp unutulmuş bir alt alan adı... Bunların her biri ayrı bir kapı. Ana siteniz güncel olsa bile, aynı hesaptaki eski bir kurulum eski PHP sürümüyle çalışıyorsa saldırgan oradan girip aynı hesaptaki tüm dosyalara ulaşabilir.
Bu hafta yeni altyapıya taşıdığımız bir müşterimizin eski WordPress kurulumunu, silmeden önce dışarıdan erişime tamamen kapattık. Dosyalar yerinde duruyor, ama internetten hiçbir istek o klasöre ulaşamıyor. Kullanmadığınız her kurulum için aynısını yapın: ya tamamen kaldırın ya da erişime kapatın.
Şimdi ne yapmalı?
Kısa cevap: sürümünüzü öğrenin, yamalı değilse barındırma firmanızdan güncelleme isteyin, eski sürümdeyseniz yükseltmeyi planlayın. Yamayı beklerken uygulanabilecek geçici önlemleri, kendi sunucusunu yönetenler için adımları ve saldırıya uğrayıp uğramadığınızı nasıl kontrol edeceğinizi Sitem PHP ile çalışıyor, ne yapmalıyım? yazısında madde madde topladık.
Bu olay, sitenizin yıllık bütçesinde güvenlik ve bakım kaleminin neden ayrı durması gerektiğini de gösteriyor. Hangi kalemlerin olması gerektiğini web sitesi yıllık maliyetleri yazısında ayrıntılı anlattık. Sitenizin altyapısını yenilemeyi düşünüyorsanız, web tasarım hizmetimiz kapsamında kurduğumuz siteler PHP kullanmayan modern bir altyapı üzerinde çalışıyor. Sitenizin ne üzerinde çalıştığından emin değilseniz bize yazın, birlikte bakalım.
