PHP Güvenlik Açığı Alarmı: WordPress Siteleri Tehlikede mi?

İnternet dünyasında PHP güvenlik açığı alarmı yaşanıyor. İnternet sitelerinin altyapısında yaygın olarak kullanılan PHP yazılımında tespit edilen iki kritik güvenlik açığı, dünya genelinde kamu kurumlarını ve web sitesi yöneticilerini harekete geçirdi. PHP2Shell adıyla gündeme gelen açıklar, savunmasız sunucularda uzaktan kod çalıştırılmasına imkân verebiliyor. Bazı kurumlar güvenlik önlemleri kapsamında internet hizmetlerini geçici olarak devre dışı bırakırken PHP ekibi acil güvenlik güncellemelerini yayımladı.

21 Ekim 2026’da duyurulan CVE-2026-109618 ve CVE-2026-109619 kodlu güvenlik açıkları, 10 üzerinden 9,2 önem derecesine sahip. Avrupa’daki siber güvenlik kurumları, kuruluşlara PHP kullanan sistemlerini belirlemeleri ve güvenlik yamalarını vakit kaybetmeden uygulamaları çağrısında bulundu.

PHP’nin resmî duyurusu PHP güvenlik güncellemeleri sayfasını ziyaret edebilirsiniz.

PHP Güvenlik Açığı Neden Bu Kadar Tehlikeli?

PHP, internet sitelerinin arka planında çalışan ve dinamik web uygulamalarının geliştirilmesinde kullanılan popüler bir programlama dili. WordPress başta olmak üzere çok sayıda içerik yönetim sistemi ve web uygulaması PHP altyapısından yararlanıyor.

Bu nedenle PHP’nin temel bileşenlerinde ortaya çıkan kritik güvenlik açıkları, farklı sektörlerde kullanılan çok sayıda internet sitesini etkileyebiliyor.

Gündeme gelen iki açık, belirli koşullarda saldırganların kullanıcı doğrulaması olmadan savunmasız sunucularda uzaktan kod çalıştırmasına olanak tanıyabiliyor. Başarılı bir saldırı, sunucunun kontrolünün ele geçirilmesi, dosyalara veya veri tabanlarına erişilmesi ve web hizmetlerinin kesintiye uğraması gibi ciddi sonuçlara yol açabilir.

Palo Alto Networks’ün Unit 42 güvenlik ekibi, açıklarla ilgili yayımladığı teknik tehdit raporunda riskin geniş bir PHP ekosistemini ilgilendirdiğine dikkat çekti.

PHP2Shell Nedir?

PHP2Shell, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen iki kritik PHP güvenlik açığı için kullanılan isimdir.

Açıklardan biri, bellek yetersizliği durumlarının hatalı işlenmesiyle ilişkili bir güvenlik sorunundan kaynaklanıyor. Diğeri ise bazı dahili durum bilgilerinin bellek serbest bırakıldıktan sonra geçersiz biçimde kullanılabilmesiyle bağlantılı.

Her iki açık da savunmasız sistemlerde uzaktan kod çalıştırılması riskini beraberinde getiriyor. Bu durum, saldırganların yalnızca bir web sayfasını görüntülemekten çok daha ileri düzeyde işlemler gerçekleştirebilmesi anlamına geliyor.

İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), 21 Ekim 2026 tarihli güvenlik uyarısında kuruluşların sistemlerini kontrol etmelerini ve gerekli önlemleri gecikmeden almalarını istedi.

PHP Güvenlik Açığı Hangi Sürümleri Etkiliyor?

PHP ekibi, iki kritik açığı gidermek amacıyla 21 Ekim 2026’da dört güncel sürüm yayımladı. PHP’nin resmî açıklamasına göre güncelleme yapılması gereken sürümler şöyle:

PHP 8.1 ve daha eski sürümler de risk altında. Ancak bu sürümler PHP projesinden düzenli güvenlik güncellemesi almıyor. Bazı Linux dağıtımları ve uzun süreli destek sağlayan tedarikçiler eski sürümlere yönelik düzeltmeler sunabiliyor. Bu nedenle sistem yöneticilerinin kullandıkları dağıtımın güvenlik duyurularını da kontrol etmesi gerekiyor.

Güncel sürümler ve teknik ayrıntılar için PHP’nin resmî güvenlik duyurusuna bakılabilir.

WordPress Siteleri PHP Güvenlik Açığından Etkileniyor mu?

WordPress kullanan internet siteleri de PHP güvenlik açığı açısından kontrol edilmeli. Bununla birlikte bütün WordPress sitelerinin saldırıya uğradığını veya tamamının aynı ölçüde risk altında olduğunu söylemek doğru değil.

WordPress’in güncel olması, sunucuda çalışan PHP sürümünün de güncel olduğu anlamına gelmiyor. Bu nedenle site sahiplerinin hem WordPress sürümünü hem de sunucu altyapısını ayrı ayrı kontrol etmesi gerekiyor.

WordPress kullanıcılarının izlemesi gereken adımlar şöyle:

• WordPress yönetim panelinde Araçlar > Site Sağlığı > Bilgi bölümünü açarak sunucu ve PHP bilgilerini kontrol edin.
• Hosting kontrol panelinden kullanılan PHP sürümünü doğrulayın.
• Hosting şirketinize PHP2Shell güvenlik güncellemelerinin uygulanıp uygulanmadığını sorun.
• WordPress çekirdeğini, temaları ve eklentileri güncel tutun.
• Güncelleme öncesinde dosyaların ve veri tabanının yedeğini alın.
• Şüpheli dosya değişikliklerini, yeni yönetici hesaplarını ve olağan dışı sunucu işlemlerini kontrol edin.

NHS England Digital tarafından yayımlanan PHP2Shell güvenlik uyarısı, PHP kullanan WordPress, Drupal ve Joomla gibi sistemlerin de güvenlik değerlendirmesine alınması gerektiğini belirtiyor.

PHP Açığı Nedeniyle Dünya Genelinde Siteler Neden Kapatılıyor?

PHP2Shell alarmı, internet sitelerinin geçici olarak erişime kapatılmasının her zaman saldırıya uğrandığı anlamına gelmediğini de gösteriyor.

Bazı kurumlar, güvenlik güncellemelerini uygulamak veya sistemlerini kontrol etmek amacıyla hizmetlerini geçici olarak devre dışı bırakabiliyor. Böylece savunmasız sistemlerin internete açık kalmasından kaynaklanabilecek riskler azaltılabiliyor.

Reuters’ın 21 Ekim 2026 tarihli haberine göre PHP’deki kritik açıklar, dünya genelindeki sistem yöneticilerini harekete geçirdi. Avrupa’daki bazı kamu hizmetleri de güvenlik önlemleri kapsamında geçici olarak çevrim dışına alındı.

Avrupa Birliği Siber Güvenlik Ajansı (ENISA) ve Avrupa’daki ilgili kurumlar da ortak açıklamalarında PHP kullanan sistemlerin belirlenmesini, internete açık sistemlere öncelik verilmesini ve güvenlik güncellemelerinin uygulanmasını önerdi.

Ayrıntılar için ENISA’nın ortak güvenlik açıklamasını inceleyebilirsiniz.

Türkiye’de PHP2Shell İçin Ne Yapılmalı?

Türkiye’deki internet sitesi sahipleri, şirketler ve kamu kurumları da PHP altyapılarını kontrol etmeli. Özellikle dışarıdan erişilebilen web sunucuları ve PHP tabanlı uygulamalar öncelikli olarak incelenmeli.

Paylaşımlı hosting hizmeti kullanan site sahipleri, sunucu yazılımını kendileri güncelleyemeyebilir. Bu durumda hosting sağlayıcısından kullanılan PHP sürümünün ve güvenlik yamalarının durumu hakkında bilgi alınmalı.

Kendi sunucusunu yöneten işletmeler ise güncellemeleri test ederek uygulamalı ve sistemlerin güvenli sürümlerde çalıştığını doğrulamalı.

Güncellemenin hemen uygulanamadığı durumlarda, internete açık uygulamaların erişimini geçici olarak sınırlandırmak veya savunmasız sistemleri izole etmek değerlendirilebilir.

Cloudflare kullanan internet siteleri için de Cloudflare’ın PHP2Shell koruma açıklaması incelenebilir. Şirket, güvenlik duvarı hizmeti üzerinden ilgili açıklar için koruma kuralları devreye aldığını duyurdu. Bununla birlikte güvenlik duvarı koruması, PHP güncellemesinin yerine geçmez.

PHP Güvenlik Açığı Hakkında Sıkça Sorulan Sorular

PHP güvenlik açığı nedir?

PHP güvenlik açığı, PHP yazılımındaki bir hatanın saldırganlar tarafından kötüye kullanılabilmesidir. PHP2Shell vakasında bazı savunmasız sistemlerde uzaktan kod çalıştırılması riski bulunuyor.

PHP2Shell bir virüs mü?

Hayır. PHP2Shell, doğrudan bilgisayarlara bulaşan bir virüsün adı değil, PHP’de tespit edilen iki kritik güvenlik açığı için kullanılan isimdir. Bu açıkların kötüye kullanılması, savunmasız sunucuların güvenliğini tehlikeye atabilir.

WordPress kullanan herkesin sitesi tehlikede mi?

Hayır. Risk, kullanılan PHP sürümüne, sunucu yapılandırmasına ve güvenlik güncellemelerinin uygulanıp uygulanmadığına bağlı. Ancak WordPress sitelerinin PHP altyapısını kontrol etmesi gerekiyor.

PHP güvenlik açığı nasıl kapatılır?

Öncelikle kullanılan PHP sürümü belirlenmeli ve ilgili güvenlik düzeltmesini içeren sürüme geçilmeli. Hosting sağlayıcısı veya sunucu yöneticisi güncellemeyi uygulamalı, ardından sistemin güvenli sürümde çalıştığı doğrulanmalı.

PHP 8.2, 8.3 ve 8.4 kullananlar ne yapmalı?

PHP 8.2 kullananlar 8.2.35, PHP 8.3 kullananlar 8.3.36 ve PHP 8.4 kullananlar 8.4.27 sürümüne yükseltmeli. Güncelleme öncesinde yedek alınmalı ve uygulama uyumluluğu kontrol edilmeli.

PHP 8.1 veya daha eski sürüm kullanıyorsam ne yapmalıyım?

Eski PHP sürümleri PHP projesinden düzenli güvenlik güncellemesi almıyor. Hosting sağlayıcınızın veya işletim sistemi tedarikçinizin geriye dönük güvenlik düzeltmelerini kontrol edin ve desteklenen bir PHP sürümüne geçiş planlayın.

PHP güvenlik açığı nedeniyle internet sitemi kapatmalı mıyım?

Her sitenin kapatılması gerekmiyor. Öncelik güvenlik güncellemesini uygulamak. Güncelleme hemen yapılamıyorsa ve sistem savunmasız durumdaysa erişimi geçici olarak kısıtlamak veya sistemi izole etmek değerlendirilmeli.

PHP2Shell nedeniyle kullanıcı bilgilerim çalınmış olabilir mi?

Güvenlik açığının bulunması, kullanıcı bilgilerinin çalındığını kanıtlamaz. Ancak sunucu ele geçirilmişse dosyalar, veri tabanları ve diğer hassas bilgiler risk altında olabilir. Şüpheli durumlarda sunucu kayıtları ve dosya değişiklikleri incelenmeli.

Cloudflare kullanmak PHP güvenlik açığına karşı yeterli mi?

Cloudflare’ın güvenlik duvarı korumaları riski azaltabilir. Ancak bu korumalar, sunucudaki PHP sürümünü güncellemenin yerine geçmez. Site sahipleri hem güvenlik duvarı ayarlarını hem de PHP sürümlerini kontrol etmeli.

PHP Güncellemesini Ertelemeyin

PHP2Shell olarak gündeme gelen iki kritik güvenlik açığı, internet sitelerinin yalnızca içerik yönetim sistemlerini güncel tutmasının yeterli olmadığını ortaya koyuyor. PHP altyapısı, sunucu yapılandırması ve kullanılan yazılım bileşenleri de düzenli olarak kontrol edilmeli.

PHP güvenlik açığına karşı en önemli adım, etkilenen sistemleri belirlemek ve yayımlanan güvenlik güncellemelerini gecikmeden uygulamak. WordPress ve diğer PHP tabanlı web uygulamalarını yönetenlerin hosting sağlayıcılarıyla iletişim kurarak güncellemelerin tamamlandığını doğrulaması gerekiyor.

Güvenlik duyuruları ve yeni teknik bilgiler için PHP’nin resmî duyuruları takip edilmeli.

İlgili Haberler

Türkiye’den PHP2Shell Alarmı: Siber Güvenlik Başkanlığı Ulusal Tarama Başlattı