PHP2Shell: PHP’de iki kritik güvenlik açığı – şimdi güncelleyin
Yayınlandı 21.10.2026 · Önem derecesi : Kritik · Güncellendi 27.10.2026
Ne oldu: 21 Ekim 2026’da PHP, “PHP2Shell” olarak adlandırılan iki kritik güvenlik açığını, CVE-2026-109618 ve CVE-2026-109619’u düzeltti. İkisi de oturum açmadan sunucuda uzaktan kod çalıştırmaya yol açabilir. İlki bellek yetersizliğinin işlenmesiyle, ikincisi ise bellek serbest bırakıldıktan sonra sonraki isteklerin kullanabileceği dahili verilerle ilgilidir.
Ne kadar ciddi: Kritik. Saldırı kodu örnekleri kamuya açık ve CERT-FR saldırı girişimleri kaydetti (27 Ekim 2026). İki güvenlik açığı da, aktif olarak istismar edilen güvenlik açıklarını içeren ABD CISA listesinde yer alıyor.
Kimler etkilendi: PHP üzerinde çalışan tüm web siteleri – bunların arasında WordPress, Joomla, Drupal ve birçok e-ticaret sitesi – PHP 5.x, 7.x, 8.0, 8.1 veya 8.2’den 8.2.35’ten önceki, 8.3’ten 8.3.36’dan önceki, 8.4’ten 8.4.27’den önceki ve 8.5’ten 8.5.12’den önceki sürümlere sahipse etkilendi. PHP 5, 7, 8.0 ve 8.1 artık güncelleme almayacak.
Ne yapmalısınız: PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 ya da daha yeni bir sürüme güncelleyin. Web sitenizin hangi sürümü kullandığını sağlaycınıza sorun. Artık güncelleme almayan bir sürümde çalışıyorsa, web sitenizin bakımı devam eden bir sürüme taşınması gerekir. Geçici önlemler mevcuttur ancak PHP’ye göre bunlar bir kurulumu güvenli hâle getirmez; yalnızca güncelleme bunu sağlar.
Ayrıca CVE-2026-115560 adlı, aynı alanda henüz giderilmemiş yeni bir güvenlik açığına da bakın. Web sitenizden emin değil misiniz? Bize yazın, ne yapılması gerektiğini size anlatayım.