Son kontrol: 21 Ekim 2026, 19:00 (TR). Bu konu sabah “güncelleme geliyor” başlığıyla açılmıştı; yamalar çıktığı için baştan yenilendi. Saldırı ayrıntısı paylaşılmaz; amaç sunucunu hemen güncellemen.
21 Ekim akşam güncellemesi: yamalar çıktı
PHP, iki kritik açığın düzeltmesini 21 Ekim ~14:00 UTC’de (Türkiye saatiyle ~17:00), planlandığı gibi yayımladı. Açıklar artık PHP2Shell adıyla biliniyor.
| PHP dalı | Güvenli (ilk düzeltilmiş) sürüm |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 (8.2’nin desteği 31 Aralık 2026’da bitiyor) |
| 8.1 ve daha eskisi | PHP projesinden güncelleme yok. Kaynaktan derleyenler için 7.4, 8.0 ve 8.1’e küçük “yama dalları” yayımlandı; en doğrusu desteklenen bir sürüme geçmek. |
Açıklar (resmi):
- CVE-2026-109618: Bellek yetmediğinde (out-of-memory) PHP, isteğe ait verileri yarım kalmış hâldeyken temizlemeye çalışıyor; bu da uzaktan kod çalıştırmaya gidebiliyor.
- CVE-2026-109619: Bir isteğe ait iç durum, belleği serbest bırakıldıktan sonra da kalabiliyor; aynı işçi (worker) sonraki isteği işlerken bu bayat durumu kullanabiliyor. Sonuç yine uzaktan kod çalıştırma.
- PHP’nin resmi puanı her ikisi için CVSS v4.0 9.2 (kritik). Dün dolaşan “CVSS 10” iddiası PHP’nin değil.
Kimler risk altında? Web isteği karşılayan her PHP kurulumu: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed. PHP’ye göre en yüksek risk Apache mod_php’de; orada tek bir şifresiz istek, sitenin kendi kodu hiç çalışmadan saldırıyı tetikleyebiliyor. Açık PHP’nin motorunda olduğu için sitenin kodu ne kadar temiz olursa olsun etkileniyor; araştırmacılara göre PHP 5.4’ten bu yana neredeyse tüm sürümler savunmasız.
Saldırı var mı? Cloudflare yama çıkmadan önce erken saldırı denemeleri gördüğünü ve geçici güvenlik duvarı kuralları koyduğunu açıkladı; watchTowr de yapay zekâ ile hazırlanmış istismar denemeleri gördüğünü söyledi. 21 Ekim akşamı itibarıyla başarılı bir sızma doğrulanmadı, ama bunun uzun sürmeyeceği uyarısı yapılıyor. Açıklar henüz CISA’nın aktif istismar listesinde (KEV) yok.
Ne kadar büyük? Hollanda’da DigiD ve MijnOverheid gibi devlet hizmetleri, ABD’de BambooHR ve Japonya’da büyük platformlar yama gelene kadar önlem olarak kapatıldı. Avrupa Birliği, ABD, Almanya, Japonya, Avustralya, İngiltere ve Hollanda resmi uyarı yayımladı; İngiltere’nin NCSC’si hemen yamanamayan sistemlerin internetten çekilmesini öneriyor. Açıkları Wiz, Calif ve OpenAI araştırmacıları bulup PHP ekibine bildirdi; araştırmacılar istismarı yapay zekâ modelleriyle çok daha hızlı geliştirebildiklerini söylüyor.
Şimdi ne yapmalısın? (sırayla)
- Sürümünü öğren: Komut satırında
php -v; hosting panelinde “PHP sürümü” ekranı. Unutulmuş test siteleri ve eski sunucular dahil her sunucuya bak. - Dağıtım paketiyle güncelle: Linux dağıtımları yamaları önceden aldı ve düzeltmeyi eski görünen sürüm numarasıyla yayımlıyor. Sürüm yazısına değil, paket değişiklik notunda CVE numarasına bak:
- Debian 12 (bookworm): php8.2 →
8.2.35-1~deb12u1(DLA-4848-1) · Debian 13 (trixie): php8.4 →8.4.27-1~deb13u1(DSA-6574-1) - Ubuntu 24.04: php8.3 →
8.3.6-0ubuntu0.24.04.13· Ubuntu 22.04: php8.1 →8.1.2-1ubuntu2.28· Ubuntu 26.04: php8.5 →8.5.4-0ubuntu1.5(USN-8948-1/-2) - Komut:
sudo apt update && sudo apt upgrade(RHEL/AlmaLinux’tasudo dnf upgrade), ardından aşağıdaki yeniden başlatma.
- Debian 12 (bookworm): php8.2 →
- Yeniden başlat: Paketi kurmak yetmez. PHP-FPM’i, Apache’yi ve uzun süre çalışan PHP işçilerini yeniden başlat (ör.
sudo systemctl restart php8.3-fpmya dasudo systemctl restart apache2). Docker kullanıyorsan imajı yeniden çek ve konteyneri yeniden oluştur. - WordPress/Laravel güncellemek PHP’yi güncellemez. Uygulamanın altındaki PHP; sunucu paketinden, hosting firmasından ya da konteyner imajından gelir.
- Paylaşımlı hosting kullanıyorsan: PHP’yi hosting firman günceller. Destek ekibine “PHP2Shell (CVE-2026-109618 / 109619) yamasını uyguladınız mı?” diye yazılı sor. Panelde 8.1 ya da daha eski bir sürüm seçiliyse, siten uyumluysa 8.3 / 8.4’e geç.
- Güncelledikten sonra bellek ayarlarına bak: Yama yeni bir “sert bellek sınırı” ekliyor; sınıra ulaşan işlem kapanıyor.
memory_limitvepost_max_sizedeğerlerinin uygulamana yettiğini kontrol et.
Hemen güncelleyemiyorsan (yalnız geçici, seni güvenli YAPMAZ)
PHP’nin resmi duyurusu bu önlemlerin bazı saldırı yollarını daralttığını ama tam koruma sağlamadığını açıkça söylüyor. “Tek güvenli seçenek güncellemek.”
session.upload_progress.enabled=0(php.ini ya da FPM havuz ayarı ile;ini_set()veya.user.iniişe yaramaz), sonra tüm işçileri yeniden başlat. PHP 8.5’te ayrıcafatal_error_backtraces=0.- Dosya yükleme gerekmiyorsa
post_max_sizedeğerini düşür (ör. 8M); web sunucusu ya da vekil sunucu (proxy) seviyesinde istek boyutu sınırları koy. - Cloudflare gibi bir güvenlik duvarı arkasındaysan iyi, ama bu da yalnızca zaman kazandırır.
- Yamanamayan ve kritik olmayan bir site varsa geçici olarak kapat.
Yamadan önce ele geçirilmiş olabilir miyim?
Araştırmacılar olağan dışı çok parçalı (multipart) istekler, açıklanamayan PHP işçi yeniden başlamaları ve site klasörlerinde senin koymadığın yeni .php dosyaları için logları incelemeyi öneriyor. Şüphe varsa: şifreleri ve API anahtarlarını değiştir, temiz yedekten dön. Yedeğin yoksa önce bu: 3-2-1 yedekleme kuralı
Önceki durum (20 Ekim)
PHP güvenlik ekibi 20 Ekim akşamı ön duyuru yapmış, ayrıntılar sızınca açıklamayı 22 Ekim’den 21 Ekim’e çekmişti. O sırada watchTowr’un verdiği CVE numaraları resmi duyuruyla doğrulandı; “CVSS 10” iddiası doğrulanmadı (resmi puan 9.2).
Yeni kurduğun bir sunucu varsa: Yeni Linux sunucuda ilk 10 dakika · Aynı hafta WordPress tarafında: Rank Math PRO arka kapısı ve UpdraftCentral anahtar sızıntısı (Web · Sunucu kategorisi)
Sunucunda hangi PHP sürümü var, güncellemede nerede takıldın? Aşağıya yaz. (Lütfen sunucu adresi ya da şifre paylaşma.)
Kaynaklar: php.net resmi güvenlik duyurusu, 21 Ekim, GitHub güvenlik ilanları GHSA-w8hw-w9fx-j79w ve GHSA-6wmf-4rv5-p3rp; The Hacker News, The Record, Krebs on Security, Help Net Security, Patchstack canlı akış; dağıtım paketleri: Debian güvenlik takipçisi, Ubuntu CVE sayfası. Kontrol tarihi: 21 Ekim 2026, 19:00 (TR).