# 🐘 PHP2Shell rehberi: etkileniyor muyum, nasıl önlem alırım, sızdıysam nasıl kurtarırım **URL:** \ **Category:** Teknoloji Haberleri\ **Tags:** rehber, web-guvenligi, php, siber-guvenlik, php2shell\ **Created:** [Ekim 22, 2026, 10:39ös UTC](https://sibernobet.com/t/php2shell-rehberi-etkileniyor-muyum-nasil-onlem-alirim-sizdiysam-nasil-kurtaririm/174 "2026-10-22T22:39:25Z")\ **Posts on this page:** 1\ **Page:** 1
**Author:** ![Kalkan](https://sibernobet.com/user_avatar/sibernobet.com/kalkan/32/63_2.png) [@Kalkan](https://sibernobet.com/u/Kalkan)\ **Post date:** [Ekim 22, 2026, 10:39ös UTC](https://sibernobet.com/t/php2shell-rehberi-etkileniyor-muyum-nasil-onlem-alirim-sizdiysam-nasil-kurtaririm/174/1 "2026-10-22T22:39:26Z")
> Son günlerin en çok konuşulan açığı **PHP2Shell** (CVE-2026-109618 ve CVE-2026-109619). Bu yazı, saldırı tekniğini değil, **kendini nasıl koruyacağını ve sızma olduysa nasıl temizleyeceğini** anlatır. Sıfırdan, herkesin anlayacağı dille. Zararlı kod paylaşılmaz. **Kontrol tarihi: 23 Ekim 2026 (TR).** Olayın kısa özeti için: [PHP2Shell konusu](https://sibernobet.com/t/164) > 🆕 **26 Ekim son durum:** PHP2Shell artık **sahada başarıyla istismar ediliyor** (24 Ekim, tuzak sunucularda 35 çalışan web shell). Bir de **yaması olmayan üçüncü açık** çıktı (CVE-2026-115560); geçici önlemi `session.upload_progress.enabled=0`. CISA 26 Ekim sabahı itibarıyla hâlâ KEV’e eklemedi. ⚠ Daha önce yazdığımız “Avrupa kamu kurumuna PHP2Shell ile sızıldı” bilgisini Unit 42 geri çekti. Ayrıntılar: [/t/210](https://sibernobet.com/t/210). Yapılacak iş değişmedi: **PHP’yi hemen güncelle.** ## Kısaca ne oldu? PHP’nin **motorunda** (yani web sitelerinin büyük kısmının üzerinde çalıştığı yazılımda) iki kritik açık bulundu. Bir saldırgan bu açıkları kullanarak sunucuya kendi kodunu çalıştırabiliyor — buna “uzaktan kod çalıştırma” (RCE) denir. Yamalar **21 Ekim 2026** ’da çıktı; Amazon’un araştırması, ilk saldırı denemelerinin yamadan **4 gün önce** başladığını gösterdi. Yani bu açık “yavaş” değil, saldırganlar hazırdı. ## 1) Etkileniyor muyum? - **Kendi sunucun/VPS’in varsa:** `php -v` yaz. Sürümün **8.5.12 / 8.4.27 / 8.3.36 / 8.2.35** ’ten düşükse etkilisin. - **Paylaşımlı hosting kullanıyorsan** (cPanel, Plesk vb.): Panelinden PHP sürümüne bak; firmana tek cümle sor: _“PHP2Shell (CVE-2026-109618) yaması uygulandı mı?”_ - **Hazır mağaza/CMS kullanıyorsan:** Sansec’e göre **Magento, Shopware ve WooCommerce** mağazaları, kendi kodları tertemiz olsa bile etkilenir — çünkü açık PHP motorunda. WordPress siteleri de PHP üzerinde çalışır. - **Cihaz/uygulama içine gömülü PHP:** Bazı yönlendirici, NAS ve kurumsal cihazların içinde PHP gömülüdür. Üreticine yama durumunu sor. ## 2) Önlem — yapılacak ilk iş: YAMALA - Şu sürümlerden birine geç: **PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35.** - **Yamadan sonra tüm PHP işçilerini yeniden başlat** (PHP-FPM / Apache). Yeniden başlatmazsan yama devreye girmez — en sık yapılan hata budur. - **PHP 8.1 ve öncesi** düzenli güvenlik yaması almıyor. PHP ekibi 7.4 / 8.0 / 8.1 için kaynak düzeyinde yama yayımladı ama asıl çözüm **desteklenen bir sürüme geçmek.** ## 3) Hemen yamalayamıyorsan (geçici sertleştirme) PHP ekibi açıkça söylüyor: **hiçbir ayar değişikliği açığı tam kapatmaz.** Ama riski azaltan adımlar var: - Sitende dosya yükleme yoksa, PHP ayarında `file_uploads = Off` yap. - Web sunucun / WAF’ında `multipart/form-data` isteklerini reddet (Sansec örnek bir Nginx kuralı paylaştı). - İnternete açık PHP uygulamasını bir ağ kimlik doğrulamasının arkasına al. - **En net tavsiye (İngiltere NCSC, ABD NSA, AB CERT-EU):** Güncelleyemiyorsan, güncelleyene kadar **sunucuyu internetten çek.** Kapalı bir sunucu sızdırılamaz. ## 4) Belirtiler — sızma oldu mu nasıl anlarım? Açığın kendisi sessiz; asıl iz **sonrasında** kalır. Şunlara bak: - Web sunucusu sürecinin (nginx/apache/php-fpm) birden **bir kabuk/komut süreci başlatması** (ör. `sh`, `bash`, `curl`, `wget` çağırması). - İstek anında **bellek tükenme (memory exhaustion) hataları**, olağandışı büyük form gönderimleri. - Web klasöründe **yeni/değişen `.php`, `.phtml` dosyaları** (özellikle sen koymadığın). - Access ve error loglarında tanımadığın IP’lerden tekrarlı POST istekleri. - Hızlı bir kontrol: `find /var/www -name "*.php" -mtime -2` ile son 2 günde değişen PHP dosyalarını listele. ## 5) Sızdıysam ne yaparım? (kurtarma — sırayla) 1. **Önce kanıtı sakla, sonra müdahale et.** Web sunucusu, PHP ve PHP-FPM loglarını başka bir yere kopyala (log rotasyonu silmeden). Panik silme yapma. 2. **Sunucuyu “kirli” kabul et.** Tek bir dosyayı temizlemek yetmez; saldırgan başka kapılar bırakmış olabilir. 3. **Tüm parolaları yenile:** o sunucudaki uygulamanın okuyabildiği her şey — veritabanı şifreleri, API anahtarları, uygulama config dosyalarındaki gizli bilgiler, SSH anahtarları. 4. **Temiz bir kurulumdan yeniden kur.** Uzmanların ortak tavsiyesi: hacklenen sistemi yerinde temizlemek yerine, **yamalı temiz bir imajdan** yeniden kurup verini kontrollü geri yükle. 5. Kripto cüzdan özel anahtarını ya da ödeme anahtarını o sunucuda tuttuysan, **fonları/anahtarları hemen değiştir.** ## 6) Evde/kişisel kullanıcıysan? Kişisel bilgisayarında web sunucusu çalıştırmıyorsan bu açık seni doğrudan tehdit etmez. Ama **kullandığın sitelerin** etkilenebileceğini unutma: önemli hesaplarında parolanı yenile ve mümkünse iki adımlı doğrulamayı (2FA) aç. Takıldığın yer olursa aşağıya yaz, birlikte bakalım. (Lütfen sunucu adresi, IP, anahtar veya şifre paylaşma.) _Kaynaklar: [Datadog Security Labs](https://securitylabs.datadoghq.com/articles/php2shell-critical-vulnerabilities-in-php/), [Elastic Security Labs (tespit)](https://www.elastic.co/security-labs/threat-command/php2shell-php-rce-detection), [Sansec araştırması](https://sansec.io/research/php2shell), [Sophos güvenlik duyurusu](https://www.sophos.com/en-us/security-advisories/sophos-sa-20261021-php2shell), [watchtowr SSS](https://watchtowr.com/intelligence/php-cve-2026-109618-faq/), [SOCRadar (etkilenen sürümler)](https://socradar.io/blog/php2shell-cve-2026-109618-cve-2026-109619/), [CyberScoop (acil yama)](https://cyberscoop.com/php-emergency-patches-php2shell-vulnerabilities). Kontrol tarihi: 23 Ekim 2026._