PHP Açığı (PHP2Shell) Nedir ve Açık Nasıl Kapatılır?

Türkiye genelinde başlatılan tarama ve acil güncelleme çağrısı, PHP kullanan sunucuların güvenliğini gündemin üst sıralarına taşıdı. PHP Açığı (PHP2Shell) Nedir ve Açık Nasıl Kapatılır? sorusu, CVE-2026-109618 ve CVE-2026-109619 açıklarının kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına yol açabilmesi nedeniyle önem taşıyor. Açıklanan yamaların vakit kaybetmeden kurulması, internete açık sistemlerdeki riski azaltmak için kritik kabul ediliyor.

Php2shell Kritik Açığı Ve Güvenlik Riski

PHP2Shell adı, birbirleriyle bağlantılı iki kritik güvenlik açığını tanımlamak için kullanılıyor. Bu zafiyetlerden yararlanan bir saldırgan, savunmasız sunucuda kullanıcı adı ve parola girmeden kod çalıştırabiliyor. Başarılı bir saldırı; web dosyalarının değiştirilmesi, zararlı yazılım yerleştirilmesi, verilerin ele geçirilmesi veya sunucunun başka saldırılarda kullanılmasıyla sonuçlanabilir.

Açıklara CVE-2026-109618 ve CVE-2026-109619 kayıtları verildi. Teknik ayrıntıların ve saldırıda kullanılabilecek bilgilerin 20 Ekim'de Hacker News platformuna sızması, güncelleme için ayrılan süreyi önemli ölçüde daralttı. Bir açığın ayrıntıları kamuya yayıldığında otomatik tarama araçlarının savunmasız sistemleri aramaya başlaması kolaylaşır.

PHP ekibi 21 Ekim'de 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerini yayımlayarak ilgili sürüm kollarını yamaladı. PHP Vakfı güvenlik mühendisi Volker Dusch da sorunu son 10 yılın en ciddi PHP açıklarından biri olarak niteledi. Bu değerlendirme, yalnızca yüksek teknik etkiden değil, PHP'nin çok sayıda internet sitesinde ve kurumsal uygulamada kullanılmasından kaynaklanıyor.

Hangi PHP Sürümleri Güvenli?

Sunucunun bağlı olduğu sürüm kolunda aşağıdaki yama seviyesine veya daha yeni bir güvenlik sürümüne geçilmesi gerekiyor. Yalnızca ana sürüm numarasına bakmak yeterli değil; örneğin 8.3 kullanılması, kurulu alt sürüm eskiyse sistemi kendiliğinden korumaz.

Linux dağıtımlarının paket yöneticileri, güvenlik düzeltmelerini kendi paket numaralarıyla geriye uyarlayabilir. Bu nedenle yalnızca ekranda görünen PHP sürümünü karşılaştırmak yerine dağıtımın güvenlik duyurusunu ve paket değişiklik kaydını da incelemek gerekir. Destek süresi bitmiş PHP kollarında kalan sistemler ise desteklenen bir sürüme taşınmalıdır.

PHP Açığı Nasıl Kapatılır?

Kurulu Sürümü Ve Çalışan Yapıyı Belirleyin

Önce komut satırında php -v çalıştırılarak kullanılan sürüm kontrol edilmelidir. Ancak web sunucusunun farklı bir PHP ikilisi veya PHP-FPM havuzu kullanabileceği unutulmamalıdır. Komut satırı, web sunucusu ve zamanlanmış görevlerde çalışan sürümler ayrı ayrı doğrulanmalıdır. Birden fazla sunucusu bulunan yapılarda envanter çıkarılmadan yapılan güncelleme, gözden kaçan savunmasız bir düğüm bırakabilir.

Yamayı Paket Yöneticisi Üzerinden Kurun

İşletim sisteminin güvenilir ve resmî paket deposu kullanılmalı, paket listesi yenilenmeli ve PHP bileşenleri birlikte güncellenmelidir. PHP-FPM, komut satırı paketi, web sunucusu modülü ve etkin uzantılar arasında sürüm uyumu korunmalıdır. Elle derlenen kurulumlarda doğrulanmış kaynak paketine geçilmeli; kaynağı belirsiz hazır dosyalar kullanılmamalıdır.

Yalnızca dosyaları değiştirmek yeterli değildir. Güncellemenin ardından PHP-FPM havuzları ile ilgili web sunucusu süreçleri yeniden başlatılmalı, çalışan işlemlerin yeni ikili dosyaları yüklediği doğrulanmalıdır. Yeniden başlatma yapılmadığında eski ve savunmasız kod bellekte çalışmayı sürdürebilir.

Uygulamayı Kontrollü Biçimde Test Edin

Yama önce mümkünse test ortamında uygulanmalı; giriş, ödeme, dosya yükleme, API ve yönetim paneli gibi kritik işlevler sınanmalıdır. Ardından üretim ortamına geçilmeli ve hata günlükleri takip edilmelidir. Güncellemenin ertelenmesi gerekiyorsa savunmasız hizmet geçici olarak internet erişimine kapatılmalı veya yalnızca güvenilir ağlardan ulaşılabilir hâle getirilmelidir. Bu önlemler yamanın yerine geçmez.

Saldırı Belirtisi Varsa Ne Yapılmalı?

sorusunun güvenli yanıtı, güncellemenin yanında olay incelemesini de kapsar. Yama kurmak yeni istismar girişimlerini engelleyebilir; daha önce ele geçirilmiş bir sunucudaki arka kapıyı veya değiştirilmiş dosyayı kendiliğinden temizlemez.

• Şüpheli sunucuyu ağdan ayırın ve delil niteliğindeki günlükleri silmeden koruyun.
• Web sunucusu, PHP-FPM, güvenlik duvarı ve uygulama günlüklerinde olağan dışı istekleri inceleyin.
• Yeni oluşturulan dosyaları, değişen zamanlanmış görevleri, kullanıcı hesaplarını ve çalışan süreçleri denetleyin.
• Uygulama parolalarını, API anahtarlarını, veritabanı bilgilerini ve oturum sırlarını temiz bir sistemden yenileyin.
• Gerekirse sunucuyu doğrulanmış yedekten veya güvenilir bir imajdan yeniden kurun.

İnceleme sırasında saldırganın kullanabileceği dosyaları doğrudan çalıştırmak yerine kopyalar adli inceleme koşullarında saklanmalıdır. Kurumsal sistemlerde müdahalenin bilgi güvenliği ekibiyle yürütülmesi, kapsamın yalnızca görünen web diziniyle sınırlı tutulmaması gerekir.

Siber Güvenlik Başkanlığı Uyarısı Ne Diyor?

Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, yamaların yayımlandığı 21 Ekim'de Ankara'dan TR-26-1372 güvenlik bildirimini yayımladı ve Türkiye genelinde tarama başlattı. Kurumun uyarısı, kamu kuruluşları kadar PHP tabanlı hizmet işleten özel şirketler ve barındırma sağlayıcıları açısından da acil güncelleme gereksinimini güçlendirdi.

Başkanlık 22 Ekim'de e-Devlet kontrollerinde sorun bulunmadığını açıkladı. Bu açıklama e-Devlet'e ilişkin mevcut kontrol sonucunu ifade ediyor; diğer kamu veya özel sektör sistemlerinin otomatik olarak güvenli olduğu anlamına gelmiyor. Her sistem yöneticisinin kendi envanterini kontrol etmesi, güvenli sürüme geçmesi ve olası ihlal izlerini ayrıca araştırması gerekiyor.

Güncelleme Sonrasında Alınacak Önlemler

Güvenli sürüm kurulduktan sonra dışarıdan erişilebilen PHP hizmetleri yeniden taranmalı ve kullanılmayan modüller kapatılmalıdır. Yönetim panelleri ağ kısıtlaması ve çok faktörlü kimlik doğrulamayla korunmalı, web süreci mümkün olan en düşük yetkiyle çalıştırılmalıdır. Dosya yazma izinlerinin daraltılması da olası bir saldırının etkisini sınırlar.

Yazılım envanterinin otomatik tutulması, destek süresi biten sürümler için uyarı üretilmesi ve kritik yamaların gecikmeden devreye alınacağı bir süreç oluşturulması kalıcı koruma sağlar. PHP2Shell sonrasında yapılacak sürüm doğrulaması, günlük incelemesi ve erişim bilgilerinin yenilenmesi birlikte ele alındığında gözden kaçan risklerin azaltılması mümkün olur.