PHP2Shell Nedir? PHP'deki Kritik Güvenlik Açığı ve Çözümü

21 Ekim 2026 tarihinde PHP ekibi, PHP çekirdeğini etkileyen iki kritik güvenlik açığı için acil güncellemeler yayımladı. PHP2Shell adıyla duyurulan bu güvenlik sorunları, bazı koşullarda saldırganların kimlik doğrulaması olmadan sunucularda kod çalıştırmasına veya hassas bellekteki bilgilere erişmesine olanak tanıyor.

Güvenlik açıkları CVE-2026-109618 ve CVE-2026-109619 olarak takip ediliyor. Her ikisinin de CVSS 4.0 önem derecesi 9,2.

PHP2Shell tam olarak nedir?

PHP2Shell, PHP programlama dilinin çekirdeğinde bulunan bellek güvenliği açıklarına verilen ortak isimdir.

Bu açıklar, PHP'nin hata yönetimi sırasında belleği ve istekler arasında korunan bazı dahili durumları güvenli şekilde yönetememesinden kaynaklanıyor.

Önemli nokta, sorunun doğrudan PHP'nin kendisinde bulunmasıdır. Dolayısıyla güvenli geliştirilmiş bir web uygulaması bile etkilenen PHP sürümü üzerinde çalışıyorsa risk altında olabilir.

Araştırmacılar, WordPress, Drupal ve Joomla ortamlarında kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma senaryolarını kontrollü testlerle doğruladı.

PHP2Shell neden tehlikeli?

Başarılı bir saldırı, etkilenen sistemin yapılandırmasına bağlı olarak ciddi sonuçlar doğurabilir:

• Uzaktan kod çalıştırma (RCE): Sunucuda yetkisiz komutların çalıştırılması.
• Hassas veri sızıntısı: PHP işlem belleğinde tutulan parolaların, API anahtarlarının veya oturum bilgilerinin açığa çıkması.
• Sunucu güvenliğinin kaybedilmesi: Uygulama dosyalarının değiştirilmesi veya başka sistemlere erişim sağlanması.
• Hizmet kesintisi: PHP işlemlerinin beklenmedik şekilde sonlanması ve uygulamanın erişilemez hâle gelmesi.

Bu riskler her PHP sitesinin saldırıya uğradığı anlamına gelmez. Ancak yama uygulanmamış sistemlerin gecikmeden değerlendirilmesi gerekir.

Hangi PHP sürümleri etkileniyor?

PHP geliştirme ekibi, 21 Ekim 2026 tarihinde aşağıdaki güvenlik güncellemelerini yayımladı:

Örneğin PHP 8.3.35 kullanan bir sistem, ilgili güvenlik düzeltmesini henüz içermeyen bir sürümdedir.

PHP 8.1 ve daha eski sürümler PHP projesi tarafından artık desteklenmemektedir. Bazı işletim sistemi dağıtıcıları bu sürümlere özel yamalar sağlayabilse de desteklenen bir PHP sürümüne geçilmesi tavsiye edilir.

PHP2Shell açığından nasıl korunulur?

1. PHP sürümünü kontrol edin

Sunucunuzdaki PHP sürümünü terminal üzerinden kontrol edebilirsiniz:

php -v

Ancak komut satırı PHP sürümü ile web sitesinin kullandığı PHP sürümü farklı olabilir. PHP-FPM, Apache, LiteSpeed veya hosting kontrol panelindeki etkin PHP sürümünü ayrıca doğrulayın.

2. Güvenlik güncellemesini uygulayın

PHP'yi kullanılan sürüm dalındaki güvenlik düzeltmesini içeren sürüme veya daha yeni, desteklenen bir sürüme yükseltin.

Güncelleme sonrasında ilgili PHP servislerinin yeniden başlatıldığını ve web uygulamasının güncel sürümü kullandığını kontrol edin.

3. Geçici korumalara tek başına güvenmeyin

Web Application Firewall (WAF), istek sınırlandırmaları ve belirli PHP ayarları bazı saldırı yöntemlerinin etkisini azaltabilir.

Ancak PHP güvenlik ekibine göre tam koruma sağlayan çözüm, güvenlik yamasının uygulanmasıdır.

4. Sunucu kayıtlarını inceleyin

Özellikle internete açık sistemlerde beklenmedik PHP işlem çökmelerini, bellek hatalarını, şüpheli istekleri ve yetkisiz dosya değişikliklerini kontrol edin.

Bir sistemin güncellenmiş olması, daha önce gerçekleşmiş olabilecek bir ihlalin etkilerini otomatik olarak ortadan kaldırmaz.

Yapay zekânın bu keşifteki rolü

PHP2Shell araştırmasının dikkat çekici yönlerinden biri, yapay zekânın güvenlik araştırmalarında üstlendiği roldür.

Wiz Research, OpenAI Codex Security ve diğer araştırmacılarla yürütülen çalışmalarda gelişmiş yapay zekâ modelleri, karmaşık bellek hatalarının analiz edilmesi, güvenlik açıklarının doğrulanması ve düzeltmelerin test edilmesi süreçlerinde kullanıldı.

Bu gelişme, yapay zekânın yalnızca yazılım geliştirmeyi değil, güvenlik araştırmalarını da dönüştürdüğünü gösteriyor.

Sonuç

PHP2Shell, modern web altyapılarında güvenliğin yalnızca uygulama kodundan ibaret olmadığını hatırlatıyor.

En iyi geliştirme uygulamalarına sahip bir sistem bile güncel olmayan temel yazılım bileşenleri nedeniyle risk taşıyabilir.

PHP tabanlı bir web sitesi yönetiyorsanız ilk önceliğiniz, sunucunuzun güvenlik düzeltmesini içeren bir PHP sürümü kullandığını doğrulamak olmalıdır.

---

Kaynaklar

• PHP Resmî Güvenlik Duyurusu
• Wiz Research — PHP2Shell Araştırması
• Cloudflare — PHP2Shell Koruma Önlemleri
• PHP2Shell Resmî Araştırma Sayfası

Yayın tarihi: 22 Ekim 2026