Merhaba Webkolog takipçileri, bugün sizlere son dönemin en çok konuşulan ve tüm yazılım dünyasını alarma geçiren kritik güvenlik gelişmelerinden biri olan PHP2Shell krizini ve yayınlanan acil yamaları detaylıca aktaracağım.

21 Ekim 2026 tarihinde, yazılım ekosisteminin nabzını tutan geliştiricileri ve sistem yöneticilerini derinden sarsan iki yeni uzaktan kod çalıştırma (RCE) açığı gün yüzüne çıktı. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen bu kritik zafiyetler (CVSS skoru 9.2), kısa süre içinde PHP2Shell adıyla sektörel literatüre geçti.

Küresel Çapta Alarm ve Etkilenen Sistemler

Bu açık; WordPress, Drupal, Joomla ve MediaWiki gibi milyonlarca web sitesine güç veren popüler PHP tabanlı altyapıları doğrudan tehdit ediyor. Olayın ciddiyeti, dünya genelindeki devasa organizasyonların ve devlet kurumlarının anlık refleks göstermesine neden oldu. Wikimedia (Wikipedia), BBC, Finlandiya hükümeti, Edinburgh Belediyesi ve Hollanda siber güvenlik birimi gibi kritik kurumlar, olası bir siber saldırıyı önlemek amacıyla hassas sistemlerini geçici olarak çevrimdışı konuma getirdi.

Aşağıda bu süreçte altyapı güvenliğini denetlemek için kullandığım tarama yardımcı sınıfına ait örneği inceleyebilirsiniz:


<?php
// PHP2Shell zafiyet tarama ve kontrol yardımcı sınıfı
class PhpSecurityScanner {
    private $targetUrl;

    public function __construct($url) {
        $this->targetUrl = filter_var($url, FILTER_VALIDATE_URL);
    }

    public function checkVulnerabilityVersion($currentVersion) {
        $vulnerableVersions = ['8.5.11', '8.4.26', '8.3.35', '8.2.34'];
        if (in_array($currentVersion, $vulnerableVersions)) {
            return "Uyarı: Sisteminiz kritik PHP2Shell açığına karşı savunmasız!";
        }
        return "Sürüm güvenli görünmektedir.";
    }
}

PHP2Shell Güvenlik Açığı ve Güncelleme Rehberi

PHP Ekibinden Acil Güncelleme ve Yama Sürümleri

Yaşanan bu krizin ardından PHP geliştirme ekibi vakit kaybetmeden resmi güvenlik sürümlerini servis etti. PHP resmi sayfasında ve duyurularında paylaşılan bilgilere göre, kimlik doğrulaması gerektirmeyen bu kritik RCE açıklarını tamamen kapatan güncel sürümler şunlardır:

Yayınlanan Güvenli Sürümler:

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

Eski Sürümler İçin Kritik Uyarı: PHP 8.1 ve daha önceki alt sürümler artık resmi standart güncelleme desteği almamaktadır. Eğer sunucularınızda bu eski sürümler koşuyorsa, ivedilikle desteklenen güvenli sürümlere geçiş yapmanız veya kurumsal LTS sağlayıcılarından yama temin etmeniz hayati önem taşımaktadır.

Türkiye'deki Durum ve Alınan Tedbirler

Ülkemizde de siber güvenlik birimleri hızla organize oldu. Siber Güvenlik Başkanlığı ulusal çapta tarama faaliyetleri başlatarak ilgili tüm kamu ve özel kurumları uyardı. Yapılan ilk incelemeler ve denetimler sonucunda, kritik ulusal altyapılarımızdan e-Devlet Kapısı tarafında herhangi bir güvenlik zafiyeti veya kesinti tespit edilmediği kamuoyuna duyuruldu.

Teknoloji ve yazılım dünyasındaki bu tür kritik eşikleri yakından izlemeye, sistemlerimizi güvenli tutmaya devam edeceğiz. Hepinize sağlıklı, mutlu ve huzurlu günler dilerim!

Webkolog'u takipte kalın!