İnternet sitelerinin altyapısında kullanılan PHP, bu kez iki kritik güvenlik açığıyla gündemde. PHP2Shell adı verilen sorun, yalnızca yazılım geliştiricilerini değil, çevrim içi hizmet sunan kurumları da ilgilendiriyor. Çünkü saldırganların bazı savunmasız sunucularda kullanıcı hesabı olmadan kod çalıştırabilmesi, veri güvenliğinden hizmet sürekliliğine kadar birçok riski beraberinde getiriyor. Daha dikkat çekici olan ise ilk günlerde önerilen basit bir ayarın sorunu çözmekte yetersiz kalması.
PHP2Shell Neden Önemli?
CVE-2026-109618 ve CVE-2026-109619 kodlarıyla izlenen açıkların her biri, CVSS 4.0 değerlendirmesinde 9,2 puan aldı. Sorun, internet sitesinin kullandığı uygulamadan ziyade PHP’nin çalışma ortamını etkiliyor. Bu nedenle güvenli yazılmış bir uygulama bile güncellenmemiş bir PHP sürümü üzerinde çalışıyorsa tehlikeye açık kalabiliyor. Özellikle Apache mod_php kullanılan sunucularda saldırı olasılığının daha ciddi olduğu bildiriliyor.
Sosyal Medyada Yayılan Çözüm Yeterli mi?
Açıkların duyurulmasının ardından session.upload_progress.enabled=0 ayarı, hızlı bir korunma yöntemi olarak paylaşılmaya başlandı. Bu seçenek, PHP’nin dosya yükleme ilerlemesini takip etmesini devre dışı bırakıyor. Ancak ayarı gündeme getiren GMO Flatt Security, daha sonra bunun tek başına yeterli koruma sağlamadığını açıkladı. PHP geliştiricileri de yapılandırma değişikliklerinin güvenlik yamasının yerini tutamayacağını belirtti.
Buradaki mesele yalnızca yanlış bir teknik tavsiye değil. Kriz anlarında kolay uygulanabilen öneriler hızla yayılıyor; buna karşılık önerinin hangi koşullarda işe yaradığı çoğu zaman geri planda kalıyor. Sistem yöneticileri için asıl tehlike, riskin ortadan kalkmadığı bir ortamda kendilerini güvende sanmak.
Güncelleme Yayımlandı, Yapılacaklar Bitti mi?
PHP ekibi, 21 Ekim 2026 tarihinde 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. Güvenlik düzeltmeleri doğrudan PHP çalışma ortamını hedefliyor. Dolayısıyla WordPress veya Laravel gibi uygulamaları güncellemek, tek başına yeterli sayılmıyor. Sunucuda kullanılan PHP paketinin ve çalışan hizmetlerin de kontrol edilmesi gerekiyor.
Güncellemenin hemen uygulanamadığı ortamlarda erişimi sınırlandırmak, gereksiz yetkileri kaldırmak ve sistem kayıtlarını incelemek riski azaltabilir. Bununla birlikte bu önlemler kalıcı çözüm değildir. Özellikle destek süresi dolmuş sürümlerde çalışan kurumların, yalnızca geçici tedbirlere dayanmak yerine altyapı geçişini planlaması gerekiyor.
Bir başka önemli ayrıntı da güncellemenin nasıl doğrulandığı. Bazı Linux dağıtımları, güvenlik düzeltmelerini mevcut paketlere ekleyebiliyor. Böyle bir durumda ekranda görünen sürüm numarası tek başına yeterli bilgi vermeyebilir. Sistem yöneticisinin paket duyurusunu ve değişiklik kaydını incelemesi gerekir. Ayrıca güncelleme sonrası web sunucusu veya PHP hizmeti yeniden başlatılmadığında eski süreçler çalışmaya devam edebilir. Bu nedenle işlem, yalnızca paket kurulumu tamamlandığında değil, çalışan ortamın gerçekten düzeltildiği doğrulandığında bitmiş sayılmalıdır.
Öte yandan saldırı girişimlerinin görülmesi, her girişimin başarılı olduğu anlamına gelmiyor. İlk raporlar dikkatle okunmalı; doğrulanmış ihlaller ile araştırmacıların gösterdiği olası saldırı yolları birbirine karıştırılmamalıdır. Aksi hâlde teknik bir gelişme gereksiz paniğe dönüşebilir. Sağlıklı güvenlik iletişimi, hem riskleri açıkça anlatmayı hem de eldeki kanıtların sınırlarını belirtmeyi gerektirir. Bu ayrım, özellikle kamuoyuna yapılan açıklamalarda oldukça önemlidir.
Bu Olay Bize Ne Anlatıyor?
PHP2Shell, siber güvenliğin yalnızca güvenlik açığı duyurularını takip etmekten ibaret olmadığını hatırlatıyor. Bir kurumun hangi yazılım sürümlerini kullandığını bilmesi, kritik güncellemeleri geciktirmeden uygulaması ve olay kayıtlarını düzenli değerlendirmesi en az yeni güvenlik ürünlerine yatırım yapmak kadar önemli.
Sonuçta asıl soru, bir saldırı ihtimalinin bulunup bulunmadığı değil, kurumların böyle bir ihtimale ne kadar hazırlıklı olduğu. PHP2Shell örneğinde görüldüğü gibi hızlı önlem almak değerli; ancak alınan önlemin gerçekten işe yaradığını doğrulamak çok daha değerli.
Kaynakça
Khandelwal, S. (2026a, 21 Ekim). PHP issues emergency patches for two critical PHP2Shell RCE flaws as exploit attempts emerge. The Hacker News. https://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html
Khandelwal, S. (2026b, 21 Ekim). PHP2Shell: What actually protects you before the 14:00 UTC PHP RCE patch, and what doesn’t. The Hacker News. https://thehackernews.com/2026/10/php2shell-what-actually-protects-you.html