# 🚨 PHP2Shell: PHP'deki iki kritik açığın yaması çıktı, hemen güncelle (8.5.12 / 8.4.27 / 8.3.36 / 8.2.35) **URL:** \ **Category:** Web · Sunucu · SEO\ **Tags:** guvenlik, sunucu, php, zafiyet, guncelleme\ **Created:** [Ekim 20, 2026, 10:13ös UTC](https://sibernobet.com/t/php2shell-phpdeki-iki-kritik-acigin-yamasi-cikti-hemen-guncelle-8-5-12-8-4-27-8-3-36-8-2-35/164 "2026-10-20T22:13:03Z")\ **Posts on this page:** 1\ **Page:** 1
**Author:** ![Kalkan](https://sibernobet.com/user_avatar/sibernobet.com/kalkan/32/63_2.png) [@Kalkan](https://sibernobet.com/u/Kalkan)\ **Post date:** [Ekim 20, 2026, 10:13ös UTC](https://sibernobet.com/t/php2shell-phpdeki-iki-kritik-acigin-yamasi-cikti-hemen-guncelle-8-5-12-8-4-27-8-3-36-8-2-35/164/1 "2026-10-20T22:13:03Z")
> **Son kontrol: 21 Ekim 2026, 19:00 (TR).** Bu konu sabah “güncelleme geliyor” başlığıyla açılmıştı; yamalar çıktığı için baştan yenilendi. Saldırı ayrıntısı paylaşılmaz; amaç sunucunu hemen güncellemen. ## 🆕 21 Ekim akşam güncellemesi: yamalar çıktı PHP, iki kritik açığın düzeltmesini **21 Ekim ~14:00 UTC’de (Türkiye saatiyle ~17:00)**, planlandığı gibi yayımladı. Açıklar artık **PHP2Shell** adıyla biliniyor. | PHP dalı | Güvenli (ilk düzeltilmiş) sürüm | | --- | --- | | 8.5 | **8.5.12** | | 8.4 | **8.4.27** | | 8.3 | **8.3.36** | | 8.2 | **8.2.35** (8.2’nin desteği 31 Aralık 2026’da bitiyor) | | 8.1 ve daha eskisi | PHP projesinden güncelleme **yok**. Kaynaktan derleyenler için 7.4, 8.0 ve 8.1’e küçük “yama dalları” yayımlandı; en doğrusu desteklenen bir sürüme geçmek. | **Açıklar (resmi):** - **CVE-2026-109618:** Bellek yetmediğinde (out-of-memory) PHP, isteğe ait verileri yarım kalmış hâldeyken temizlemeye çalışıyor; bu da **uzaktan kod çalıştırmaya** gidebiliyor. - **CVE-2026-109619:** Bir isteğe ait iç durum, belleği serbest bırakıldıktan sonra da kalabiliyor; aynı işçi (worker) sonraki isteği işlerken bu bayat durumu kullanabiliyor. Sonuç yine **uzaktan kod çalıştırma**. - PHP’nin resmi puanı her ikisi için **CVSS v4.0 9.2 (kritik)**. Dün dolaşan “CVSS 10” iddiası PHP’nin değil. **Kimler risk altında?** Web isteği karşılayan **her PHP kurulumu** : PHP-FPM, Apache mod\_php, php-cgi, FrankenPHP, LiteSpeed. PHP’ye göre en yüksek risk **Apache mod\_php** ’de; orada tek bir şifresiz istek, sitenin kendi kodu hiç çalışmadan saldırıyı tetikleyebiliyor. Açık PHP’nin motorunda olduğu için **sitenin kodu ne kadar temiz olursa olsun** etkileniyor; araştırmacılara göre PHP 5.4’ten bu yana neredeyse tüm sürümler savunmasız. **Saldırı var mı?** Cloudflare yama çıkmadan önce **erken saldırı denemeleri** gördüğünü ve geçici güvenlik duvarı kuralları koyduğunu açıkladı; watchTowr de yapay zekâ ile hazırlanmış istismar denemeleri gördüğünü söyledi. 21 Ekim akşamı itibarıyla **başarılı bir sızma doğrulanmadı** , ama bunun uzun sürmeyeceği uyarısı yapılıyor. Açıklar henüz CISA’nın aktif istismar listesinde (KEV) yok. **Ne kadar büyük?** Hollanda’da DigiD ve MijnOverheid gibi devlet hizmetleri, ABD’de BambooHR ve Japonya’da büyük platformlar yama gelene kadar önlem olarak kapatıldı. Avrupa Birliği, ABD, Almanya, Japonya, Avustralya, İngiltere ve Hollanda resmi uyarı yayımladı; İngiltere’nin NCSC’si hemen yamanamayan sistemlerin internetten çekilmesini öneriyor. Açıkları Wiz, Calif ve OpenAI araştırmacıları bulup PHP ekibine bildirdi; araştırmacılar istismarı yapay zekâ modelleriyle çok daha hızlı geliştirebildiklerini söylüyor. ## Şimdi ne yapmalısın? (sırayla) 1. **Sürümünü öğren:** Komut satırında `php -v`; hosting panelinde “PHP sürümü” ekranı. Unutulmuş test siteleri ve eski sunucular dahil **her** sunucuya bak. 2. **Dağıtım paketiyle güncelle:** Linux dağıtımları yamaları önceden aldı ve düzeltmeyi **eski görünen sürüm numarasıyla** yayımlıyor. Sürüm yazısına değil, paket değişiklik notunda CVE numarasına bak: - **Debian 12 (bookworm):** php8.2 → `8.2.35-1~deb12u1` (DLA-4848-1) · **Debian 13 (trixie):** php8.4 → `8.4.27-1~deb13u1` (DSA-6574-1) - **Ubuntu 24.04:** php8.3 → `8.3.6-0ubuntu0.24.04.13` · **Ubuntu 22.04:** php8.1 → `8.1.2-1ubuntu2.28` · **Ubuntu 26.04:** php8.5 → `8.5.4-0ubuntu1.5` (USN-8948-1/-2) - Komut: `sudo apt update && sudo apt upgrade` (RHEL/AlmaLinux’ta `sudo dnf upgrade`), ardından aşağıdaki yeniden başlatma. 3. **Yeniden başlat:** Paketi kurmak yetmez. **PHP-FPM’i, Apache’yi ve uzun süre çalışan PHP işçilerini** yeniden başlat (ör. `sudo systemctl restart php8.3-fpm` ya da `sudo systemctl restart apache2`). Docker kullanıyorsan imajı yeniden çek ve konteyneri **yeniden oluştur**. 4. **WordPress/Laravel güncellemek PHP’yi güncellemez.** Uygulamanın altındaki PHP; sunucu paketinden, hosting firmasından ya da konteyner imajından gelir. 5. **Paylaşımlı hosting kullanıyorsan:** PHP’yi hosting firman günceller. Destek ekibine “PHP2Shell (CVE-2026-109618 / 109619) yamasını uyguladınız mı?” diye yazılı sor. Panelde 8.1 ya da daha eski bir sürüm seçiliyse, siten uyumluysa 8.3 / 8.4’e geç. 6. **Güncelledikten sonra bellek ayarlarına bak:** Yama yeni bir “sert bellek sınırı” ekliyor; sınıra ulaşan işlem kapanıyor. `memory_limit` ve `post_max_size` değerlerinin uygulamana yettiğini kontrol et. ## Hemen güncelleyemiyorsan (yalnız geçici, seni güvenli YAPMAZ) PHP’nin resmi duyurusu bu önlemlerin bazı saldırı yollarını daralttığını ama **tam koruma sağlamadığını** açıkça söylüyor. “Tek güvenli seçenek güncellemek.” - `session.upload_progress.enabled=0` (php.ini ya da FPM havuz ayarı ile; `ini_set()` veya `.user.ini` işe yaramaz), sonra **tüm işçileri** yeniden başlat. PHP 8.5’te ayrıca `fatal_error_backtraces=0`. - Dosya yükleme gerekmiyorsa `post_max_size` değerini düşür (ör. 8M); web sunucusu ya da vekil sunucu (proxy) seviyesinde istek boyutu sınırları koy. - Cloudflare gibi bir güvenlik duvarı arkasındaysan iyi, ama bu da yalnızca **zaman kazandırır**. - Yamanamayan ve kritik olmayan bir site varsa geçici olarak **kapat**. ## Yamadan önce ele geçirilmiş olabilir miyim? Araştırmacılar olağan dışı **çok parçalı (multipart) istekler**, açıklanamayan **PHP işçi yeniden başlamaları** ve site klasörlerinde **senin koymadığın yeni .php dosyaları** için logları incelemeyi öneriyor. Şüphe varsa: şifreleri ve API anahtarlarını değiştir, temiz yedekten dön. Yedeğin yoksa önce bu: [3-2-1 yedekleme kuralı](https://sibernobet.com/t/59) ## Önceki durum (20 Ekim) PHP güvenlik ekibi 20 Ekim akşamı ön duyuru yapmış, ayrıntılar sızınca açıklamayı 22 Ekim’den 21 Ekim’e çekmişti. O sırada watchTowr’un verdiği CVE numaraları resmi duyuruyla **doğrulandı** ; “CVSS 10” iddiası doğrulanmadı (resmi puan 9.2). Yeni kurduğun bir sunucu varsa: [Yeni Linux sunucuda ilk 10 dakika](https://sibernobet.com/t/33) · Aynı hafta WordPress tarafında: [Rank Math PRO arka kapısı](https://sibernobet.com/t/163) ve UpdraftCentral anahtar sızıntısı ([Web · Sunucu kategorisi](https://sibernobet.com/c/web-sunucu)) Sunucunda hangi PHP sürümü var, güncellemede nerede takıldın? Aşağıya yaz. (Lütfen sunucu adresi ya da şifre paylaşma.) _Kaynaklar: [php.net resmi güvenlik duyurusu, 21 Ekim](https://www.php.net/archive/2026.php#2026-10-21-5), GitHub güvenlik ilanları [GHSA-w8hw-w9fx-j79w](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) ve [GHSA-6wmf-4rv5-p3rp](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp); [The Hacker News](https://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html), [The Record](https://therecord.media/php-script-vulnerabilities-warnings), [Krebs on Security](https://krebsonsecurity.com/2026/10/widespread-php-flaw-may-cause-many-site-outages-today/), [Help Net Security](https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/), [Patchstack canlı akış](https://patchstack.com/articles/php-major-vulnerability-alert-10-2026/); dağıtım paketleri: [Debian güvenlik takipçisi](https://security-tracker.debian.org/tracker/CVE-2026-109618), [Ubuntu CVE sayfası](https://ubuntu.com/security/CVE-2026-109618). Kontrol tarihi: 21 Ekim 2026, 19:00 (TR)._