🐘 PHP2Shell rehberi: etkileniyor muyum, nasıl önlem alırım, sızdıysam nasıl kurtarırım

Kalkan · Ekim 22, 2026, 10:39ös

Son günlerin en çok konuşulan açığı PHP2Shell (CVE-2026-109618 ve CVE-2026-109619). Bu yazı, saldırı tekniğini değil, kendini nasıl koruyacağını ve sızma olduysa nasıl temizleyeceğini anlatır. Sıfırdan, herkesin anlayacağı dille. Zararlı kod paylaşılmaz. Kontrol tarihi: 23 Ekim 2026 (TR). Olayın kısa özeti için: PHP2Shell konusu

26 Ekim son durum: PHP2Shell artık sahada başarıyla istismar ediliyor (24 Ekim, tuzak sunucularda 35 çalışan web shell). Bir de yaması olmayan üçüncü açık çıktı (CVE-2026-115560); geçici önlemi session.upload_progress.enabled=0. CISA 26 Ekim sabahı itibarıyla hâlâ KEV’e eklemedi. Daha önce yazdığımız “Avrupa kamu kurumuna PHP2Shell ile sızıldı” bilgisini Unit 42 geri çekti. Ayrıntılar: /t/210. Yapılacak iş değişmedi: PHP’yi hemen güncelle.

Kısaca ne oldu?

PHP’nin motorunda (yani web sitelerinin büyük kısmının üzerinde çalıştığı yazılımda) iki kritik açık bulundu. Bir saldırgan bu açıkları kullanarak sunucuya kendi kodunu çalıştırabiliyor — buna “uzaktan kod çalıştırma” (RCE) denir. Yamalar 21 Ekim 2026’da çıktı; Amazon’un araştırması, ilk saldırı denemelerinin yamadan 4 gün önce başladığını gösterdi. Yani bu açık “yavaş” değil, saldırganlar hazırdı.

1) Etkileniyor muyum?

Kendi sunucun/VPS’in varsa: php -v yaz. Sürümün 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35’ten düşükse etkilisin.
Paylaşımlı hosting kullanıyorsan (cPanel, Plesk vb.): Panelinden PHP sürümüne bak; firmana tek cümle sor: “PHP2Shell (CVE-2026-109618) yaması uygulandı mı?”
Hazır mağaza/CMS kullanıyorsan: Sansec’e göre Magento, Shopware ve WooCommerce mağazaları, kendi kodları tertemiz olsa bile etkilenir — çünkü açık PHP motorunda. WordPress siteleri de PHP üzerinde çalışır.
Cihaz/uygulama içine gömülü PHP: Bazı yönlendirici, NAS ve kurumsal cihazların içinde PHP gömülüdür. Üreticine yama durumunu sor.

2) Önlem — yapılacak ilk iş: YAMALA

Şu sürümlerden birine geç: PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35.
Yamadan sonra tüm PHP işçilerini yeniden başlat (PHP-FPM / Apache). Yeniden başlatmazsan yama devreye girmez — en sık yapılan hata budur.
PHP 8.1 ve öncesi düzenli güvenlik yaması almıyor. PHP ekibi 7.4 / 8.0 / 8.1 için kaynak düzeyinde yama yayımladı ama asıl çözüm desteklenen bir sürüme geçmek.

3) Hemen yamalayamıyorsan (geçici sertleştirme)

PHP ekibi açıkça söylüyor: hiçbir ayar değişikliği açığı tam kapatmaz. Ama riski azaltan adımlar var:

Sitende dosya yükleme yoksa, PHP ayarında file_uploads = Off yap.
Web sunucun / WAF’ında multipart/form-data isteklerini reddet (Sansec örnek bir Nginx kuralı paylaştı).
İnternete açık PHP uygulamasını bir ağ kimlik doğrulamasının arkasına al.
En net tavsiye (İngiltere NCSC, ABD NSA, AB CERT-EU): Güncelleyemiyorsan, güncelleyene kadar sunucuyu internetten çek. Kapalı bir sunucu sızdırılamaz.

4) Belirtiler — sızma oldu mu nasıl anlarım?

Açığın kendisi sessiz; asıl iz sonrasında kalır. Şunlara bak:

Web sunucusu sürecinin (nginx/apache/php-fpm) birden bir kabuk/komut süreci başlatması (ör. sh, bash, curl, wget çağırması).
İstek anında bellek tükenme (memory exhaustion) hataları, olağandışı büyük form gönderimleri.
Web klasöründe yeni/değişen .php, .phtml dosyaları (özellikle sen koymadığın).
Access ve error loglarında tanımadığın IP’lerden tekrarlı POST istekleri.
Hızlı bir kontrol: find /var/www -name "*.php" -mtime -2 ile son 2 günde değişen PHP dosyalarını listele.

5) Sızdıysam ne yaparım? (kurtarma — sırayla)

Önce kanıtı sakla, sonra müdahale et. Web sunucusu, PHP ve PHP-FPM loglarını başka bir yere kopyala (log rotasyonu silmeden). Panik silme yapma.
Sunucuyu “kirli” kabul et. Tek bir dosyayı temizlemek yetmez; saldırgan başka kapılar bırakmış olabilir.
Tüm parolaları yenile: o sunucudaki uygulamanın okuyabildiği her şey — veritabanı şifreleri, API anahtarları, uygulama config dosyalarındaki gizli bilgiler, SSH anahtarları.
Temiz bir kurulumdan yeniden kur. Uzmanların ortak tavsiyesi: hacklenen sistemi yerinde temizlemek yerine, yamalı temiz bir imajdan yeniden kurup verini kontrollü geri yükle.
Kripto cüzdan özel anahtarını ya da ödeme anahtarını o sunucuda tuttuysan, fonları/anahtarları hemen değiştir.

6) Evde/kişisel kullanıcıysan?

Kişisel bilgisayarında web sunucusu çalıştırmıyorsan bu açık seni doğrudan tehdit etmez. Ama kullandığın sitelerin etkilenebileceğini unutma: önemli hesaplarında parolanı yenile ve mümkünse iki adımlı doğrulamayı (2FA) aç.

Takıldığın yer olursa aşağıya yaz, birlikte bakalım. (Lütfen sunucu adresi, IP, anahtar veya şifre paylaşma.)

Kaynaklar: Datadog Security Labs, Elastic Security Labs (tespit), Sansec araştırması, Sophos güvenlik duyurusu, watchtowr SSS, SOCRadar (etkilenen sürümler), CyberScoop (acil yama). Kontrol tarihi: 23 Ekim 2026.