PHP güvenlik açığı olarak anılan iki ciddi hata bulundu ve 21 Ekim 2026’da düzeltildi. PHP kullanan bir siteniz varsa, PHP’nin düzeltilmiş bir sürümüne geçilmesi gerekiyor. WordPress, Joomla veya Laravel gibi bir sistem kullanmanız bu gerçeği değiştirmez, çünkü hepsi PHP üzerinde çalışır. Bu yazı, teknik bilginiz olmasa da neyin ne olduğunu ve ne yapacağınızı anlatıyor.

PHP güvenlik açığı nedir, ne olmuş?

PHP, internetteki sitelerin büyük kısmının arkasında çalışan bir programlama dili. Bunu sitenin “motoru” gibi düşünebilirsiniz. WordPress gibi sistemler bu motorun üstünde çalışıyor.

Güvenlik araştırmacıları bu motorun içinde iki hata buldu. Hatalar PHP2Shell adıyla biliniyor. Bu isim, saldırganın siteye bir “kabuk” (komut satırı) açabilmesinden geliyor.

CVE nedir? Bu numaralar ne anlama geliyor?

CVE, bilinen her güvenlik açığına verilen kimlik numarası. Araç plakası gibi düşünün: açığa herkes aynı numarayla atıf yapıyor. Bu iki açığın numaraları CVE-2026-109618 ve CVE-2026-109619.

Bunları ezberlemeniz gerekmiyor. Hosting firmanız ya da bir güvenlik uzmanı bu numaralardan söz ederse, aynı iki açıktan bahsediyorlar demektir.

Açıklar ne yapabiliyor?

PHP’nin resmî duyurusuna göre bu hatalar, saldırganın giriş yapmadan, internetten istek göndererek sitenizin çalıştığı sunucuda kendi komutlarını çalıştırmasına yol açabiliyor. Buna “uzaktan kod çalıştırma” deniyor.

Bunun sonucunda saldırgan, sitenize zararlı dosya yerleştirebilir, içeriği değiştirebilir ya da sunucudaki gizli bilgilere (parola, anahtar) ulaşmaya çalışabilir. Araştırmacılar, sunucu belleğinin de okunabildiğini gösterdi.

İki hata iki farklı bellek sorunundan kaynaklanıyor:

• Birincisi (CVE-2026-109618): Sunucunun belleği dolunca PHP, bir işi yarıda bırakıyor ve geride düzensiz veri kalıyor. Saldırgan bu karışıklıktan yararlanabiliyor.
• İkincisi (CVE-2026-109619): PHP, işi bitmiş bir isteğin verisine, yeri boşaltıldıktan sonra da bakmaya devam edebiliyor. Bu da yeni bir isteğin bu eski veriyi yanlış kullanmasına yol açıyor.

Sadece anlayın diye: ikisi de “motorun içindeki bir kusur”. Sitenizin ya da eklentinizin hatası değil.

Ne kadar ciddi?

PHP ekibi bu PHP güvenlik açığını oluşturan iki hatayı da 10 üzerinden 9,2 olarak puanladı. Bu, “kritik” seviyesi. İlk günlerde dolaşan “10 üzerinden 10” iddiası resmî değerlendirme değil.

Siteniz etkilenir mi?

Bu PHP güvenlik açığından etkilenip etkilenmediğinizi anlamak için kısa kural şu: Siteniz PHP ile çalışıyorsa ve PHP sürümü yamalı değilse risk altındasınız. Çoğu WordPress, WooCommerce, Joomla, Drupal, Magento ve Laravel sitesi PHP kullanır.

PHP’nin hangi sürümlerde düzeltme yayımladığına aşağıdaki tablodan bakın:

Sizdeki PHP sürümü	Ne yapmalısınız?
8.5	8.5.12 veya daha yenisine geçin
8.4	8.4.27 veya daha yenisine geçin
8.3	8.3.36 veya daha yenisine geçin
8.2	8.2.35 veya daha yenisine geçin. Bu sürümün güvenlik desteği 31 Aralık 2026’da bitiyor; yıl bitmeden 8.3 veya üstüne geçmeyi planlayın
8.1 veya daha eski	PHP bu sürümler için resmî güncelleme yayımlamıyor. Hosting firmanızdan yamalı paket isteyin ya da desteklenen bir sürüme geçin

Hosting’de bazen sürüm numarası “eski” görünür ama düzeltme arka planda uygulanmıştır. Emin olmak için firmanıza sorun.

Bu PHP güvenlik açığıyla ilgili terimler, sade dille

Haberlerde ve hosting duyurularında geçen kelimeler kafa karıştırabiliyor. İşte kısa bir sözlük:

Terim	Gündelik dille anlamı
PHP	Sitenizin arkasında çalışan “motor”. WordPress gibi sistemler bunun üstünde çalışır
CVE	Bir güvenlik açığına verilen kimlik numarası, plaka gibi
Uzaktan kod çalıştırma (RCE)	Saldırganın, sunucunun başına geçmeden internetten komut verebilmesi
Yama	Açığı kapatan düzeltme. PHP’de bu, yeni bir sürüm olarak geliyor
WAF	Siteyi önden koruyan güvenlik duvarı. Geçici bir kalkandır, yamanın yerine geçmez
Hosting	Sitenizin barındığı sunucuyu kiraladığınız firma

Hosting türünüze göre ne yapmalısınız?

Kimin ne yapacağı, sitenizi nerede barındırdığınıza bağlı:

• Paylaşımlı hosting: PHP’yi genellikle firma yönetir. Panelden sürümü kontrol edin, düşükse firmaya yazın.
• VPS veya özel sunucu: Sorumluluk sizde ya da sistem yöneticinizde. Güncellemeyi ve PHP’nin yeniden başlatılmasını yaptırın.
• Yönetilen WordPress hosting: Firma çoğu zaman güncellemeyi kendisi yapar. Yine de sürümü yazılı olarak sorun.
• Konteyner veya bulut (Docker, Kubernetes vb.): Yamalı bir PHP imajı çekilmeli ya da imaj yeniden oluşturulmalı. Bunu geliştirici ekibiniz yapar.

Sitenizi korumak için 5 adım

1. Sitenizi kimin yönettiğini netleştirin

Paylaşımlı hosting kullanıyorsanız PHP’yi genellikle hosting firması yönetir. Kendi sunucunuz varsa (VPS gibi) sorumluluk sizde ya da sistem yöneticinizde.

2. PHP sürümünüzü öğrenin

Hosting panelinizde “PHP sürümü” ya da “PHP ayarları” gibi bir bölüm bulunur. Sürüm numarası orada yazar. Bulamazsanız hosting destek ekibine “sitemde hangi PHP sürümü çalışıyor?” diye sorun.

3. Sürümü güncelleyin

Yukarıdaki tabloya bakın. Sürümünüz altındaysa, panelden daha yeni bir sürüm seçin ya da firmaya güncelleme talebi açın.

4. Güncellemeden sonra siteyi test edin

Eski eklentiler ve temalar yeni PHP sürümüyle sorun çıkarabilir. Güncellemeden sonra ana sayfayı, ödeme sayfasını ve giriş ekranını açıp kontrol edin. Mümkünse önce bir deneme kopyasında deneyin.

5. Gerekirse yedek alın, şifreleri değiştirin

Açık, sunucu belleğini okutabildiği için parolalar risk altında olabilir. Özellikle yönetici paneli, veritabanı ve hosting parolalarınızı değiştirmek akıllıca olur. Bu bir resmî PHP talimatı değil, editör önerimizdir.

Sık yapılan hatalar

• Sadece WordPress’i güncellemek. WordPress güncellemesi PHP’yi değiştirmez.
• Güvenlik duvarına (WAF) güvenip güncellemeyi ertelemek. Bu kurallar geçici bir koruma. Saldırganlar bunları atlatabiliyor.
• “Bende sorun yok” demek. Sürümü kontrol etmeden emin olamazsınız.

Hosting firmanıza gönderebileceğiniz mesaj

Teknik bilginiz yoksa, bu PHP güvenlik açığı için şu mesajı olduğu gibi gönderebilirsiniz:

Merhaba, PHP’deki CVE-2026-109618 ve CVE-2026-109619 açıkları için sunucularda yama uygulandı mı? Sitemde şu an hangi PHP sürümü çalışıyor? Sürüm 8.5.12, 8.4.27, 8.3.36 veya 8.2.35’ten düşükse, yamalı bir sürüme ne zaman geçilecek? PHP 8.1 veya daha eski bir sürüm kullanıyorsam bana yamalı bir seçenek sunabilir misiniz?

Güncelleme yetmiyorsa: şüpheli durumu nasıl anlarsınız?

PHP güvenlik açığının yaması, bundan sonraki saldırıları engeller. Ama yamadan önce birinin içeri girip girmediğini söylemez. Şu belirtiler dikkat çekmeli:

• Siteye tanımadığınız bir yönetici hesabı eklenmiş.
• Sitede siz yazmadığınız yazılar, reklamlar ya da yönlendirmeler var.
• Hosting firmanız anormal yük ya da tanımadığınız dosyalar bildiriyor.
• Arama sonuçlarında sitenizin yanında garip, alakasız başlıklar çıkıyor.

Bunlardan birini görürseniz önce hosting firmanıza ve siteyi kuran kişiye haber verin, sonra parolaları değiştirin.

Sistem yöneticileri için kısa not

Kendi sunucunuz varsa, güncellemeden sonra PHP’yi yeniden başlatmanız gerekir. Çalışan süreçler eski kodu bellekte tutar. Hangi PHP’nin sitenizi çalıştırdığını da kontrol edin; komut satırındaki PHP ile web sitesini çalıştıran PHP farklı olabilir.

Hemen güncelleyemiyorsanız PHP’nin önerdiği bazı geçici ayarlar var, örneğin session.upload_progress.enabled=0. Ancak PHP, bunların sunucuyu güvenli yapmadığını, yalnızca belirli yolları daralttığını açıkça belirtiyor. Ayrıntılar için PHP’nin resmî duyurusuna bakın.

Bu PHP güvenlik açığı, sitenizin altındaki “motorun” kusuru; çözümü motoru güncellemek. Hosting firması PHP’yi yönetiyorsa, sürümünüzü kontrol edip gerekirse firmaya yazmanız yeterli.

Bugün yapacağınız tek iş: hosting panelinizden PHP sürümünüzü öğrenin ve yukarıdaki tabloyla karşılaştırın.

Sıkça Sorulan Sorular

PHP güvenlik açığı bana nasıl zarar verebilir?

Saldırgan, giriş yapmadan sitenizin çalıştığı sunucuda komut çalıştırabilir. Böylece zararlı dosya yerleştirebilir, içeriği değiştirebilir ya da parola ve anahtar gibi bilgilere ulaşmaya çalışabilir. Bu risk, yalnızca PHP’nin yamasız bir sürümünü kullanan siteler için geçerlidir; yamalı sürüme geçtiğinizde yeni saldırı denemelerine karşı bu yol kapanır.

WordPress kullanıyorum, siteyi güncellemem yeterli mi?

Hayır. Açık WordPress’te değil, onu çalıştıran PHP’de. WordPress, tema veya eklenti güncellemesi PHP’yi değiştirmez. Hosting panelinizden PHP sürümünü yamalı bir sürüme yükseltmeniz gerekir. Panelde bulamazsanız hosting firmanızın destek ekibine yazın. Sunucuyu kendiniz yönetmiyorsanız bu işi genellikle firma üstlenir; güncellemeden sonra sitenizi yine de kısaca test edin.

CVE numarası nedir, bilmem gerekiyor mu?

CVE, bilinen her güvenlik açığına verilen kimlik numarasıdır. Ezberlemeniz gerekmez. Hosting firmanız ya da bir uzman bu numaralardan söz ederse aynı açıktan bahsettiğini anlamanız yeterlidir. Numara bir plaka gibidir: her açığın kendine ait, değişmeyen bir numarası vardır. Bu açıkların numaraları CVE-2026-109618 ve CVE-2026-109619’dur.

Yama gelene kadar ne yapabilirim?

Tam çözüm güncellemedir. Beklerken, siteniz önemli bir iş yapmıyorsa geçici olarak erişime kapatmayı düşünebilirsiniz. Hosting firmanızdan yönetim paneline erişimi kısıtlamasını isteyebilirsiniz. Paylaşımlı hosting kullanıyorsanız bu kararı çoğunlukla firma verir; yine de durumu yazılı sormanızda fayda var. Kurumsal sistemlerde bunu sistem yöneticiniz yapar; geçici ayarlar sunucuyu güvenli yapmaz.

PHP sürümümü nasıl öğrenirim?

Hosting panelinizde “PHP sürümü” ya da “PHP ayarları” bölümüne bakın. Bulamazsanız hosting destek ekibine “sitemde hangi PHP sürümü çalışıyor?” diye sorun. Sürüm genellikle 8.3.36 gibi üç parçalı bir numaradır. Düzeltilmiş olup olmadığını öğrenmek için yukarıdaki tabloyu kullanabilirsiniz. Kendi sunucunuzdaysanız sistem yöneticinize sorun.