PHP2Shell Açığı: Siber Güvenlik Başkanlığından Ulusal Uyarı

Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, internet sitelerinin ve kurumsal uygulamaların önemli bir kısmının üzerinde çalıştığı PHP yazılım altyapısında tespit edilen PHP2Shell açığı için ulusal ölçekte önleyici çalışma başlattı. Başkanlık, kamu kurumları başta olmak üzere Türkiye genelindeki sistemlerde güvenlik taramalarına başladı ve kurumlara acil tedbir almaları yönünde bildirim gönderdi.

PHP2Shell, belirli koşullarda saldırganlara kimlik doğrulaması olmadan uzaktan kod çalıştırma imkânı verebilen iki kritik açıktan oluşuyor. Açıkların ayrıntıları 20 Ekim’de koordineli duyurudan önce sızdı; PHP güvenlik ekibi ise 21 Ekim’de acil güvenlik güncellemelerini yayımladı.

Siber Güvenlik Başkanlığı ne yaptı

Başkanlık, tehdidin erken tespiti ve olası etkilerinin sınırlandırılması amacıyla Türkiye genelinde güvenlik taramaları başlattı. Bu kapsamda Siber Olaylara Müdahale Ekipleri (SOME) İletişim Platformu üzerinden tüm kurum ve kuruluşlara ve kritik altyapılara acil güvenlik duyurusu iletildi. Duyuruda alınması gereken teknik ve idari tedbirler de paylaşıldı.

Başkanlık, kamu kurumlarının yanı sıra özel sektördeki tüm sistem yöneticilerini de harekete geçmeye çağırdı. Başkanlığın öne çıkardığı tedbirler şöyle:

• İnternete açık bilişim altyapılarının gözden geçirilmesi
• Yayımlanan güvenlik güncellemelerinin ivedilikle uygulanması
• İhtiyaç duyulmayan dış erişimlerin sınırlandırılması
• Gerekli görülen servislerde ilave koruma tedbirleri alınması

Kurumların uygulaması gereken ayrıntılı tedbirler, Başkanlığın TR-26-1372 numaralı resmî güvenlik bildiriminde yer alıyor. Başkanlık, bu tedbirlerin gecikmeksizin hayata geçirilmesini önemle tavsiye ediyor.

Ulusal ölçekte tarama yapılması, açığın etki alanının genişliğiyle doğrudan ilgili. Bu tür taramalar, kurumların kendi sistemlerindeki savunmasız noktaları fark etmesini beklemek yerine riskli sistemlerin merkezi olarak tespit edilmesine ve sahiplerine doğrudan bildirim yapılmasına imkân tanıyor.

PHP2Shell nedir

PHP2Shell, CVE-2026-109618 ve CVE-2026-109619 numaralarıyla izlenen iki güvenlik açığının ortak adı. İki açık da CVSS v4.0 ölçeğinde 9,2 puanla “kritik” seviyede sınıflandırıldı. Adı, saldırganların savunmasız sunucularda komut satırı erişimi, yani “shell” elde edebileceğine işaret ediyor.

PHP güvenlik ekibinin açıklamasına göre iki açık aynı temel sorundan kaynaklanıyor. PHP, bir web isteği beklenmedik şekilde sona erdiğinde belleğini bozuk bir durumda bırakabiliyor. Sonraki istekler bu bozuk durumu kullandığında saldırgan, web sunucusu sürecinin yetkileriyle kod çalıştırabiliyor. Açıklar ayrıca sunucu belleğindeki hassas verilerin sızmasına ve iş süreçlerinin çökmesine de yol açabiliyor. Bazı araştırmacılar bu bellek sızıntısı riskini, 2014’te OpenSSL’de ortaya çıkan ve internet genelinde büyük bir güncelleme seferberliğine yol açan Heartbleed açığına benzetiyor.

Açıkların en kritik özelliği, uygulamadan bağımsız olması. Sorun, PHP ile yazılmış bir web sitesinin ya da yazılımın kodunda değil, PHP’nin kendisinde bulunuyor. Bu nedenle uygulama katmanı tamamen güncel olan bir sistem de sunucudaki PHP sürümü yamalanmadıkça risk altında kalıyor. PHP güvenlik ekibi, riskin en yüksek olduğu yapılandırmanın Apache mod_php olduğunu ve burada uygulama kodu çalışmadan önce bile saldırının tetiklenebildiğini belirtti.

Açıkların keşif ve duyuru süreci de olağandışı bir seyir izledi:

• Keşif: Açıklar, Wiz, OpenAI ve Calif araştırmacıları tarafından ortaklaşa bildirildi.
• 20 Ekim: PHP güvenlik ekibi, 21 Ekim’de kritik bir güvenlik sürümü yayımlayacağını duyurdu. Aynı gün açıklara dair bilgiler koordineli duyurudan önce sosyal medyaya sızdı.
• 21 Ekim: PHP, açıkların ayrıntılarını içeren güvenlik bildirimini ve yamalı sürümleri yayımladı.

Sızıntı, yama yayımlanmadan önce saldırganlara hazırlık süresi tanıdığı için riski artırdı. Güvenlik firması Sansec, yamaların yayımlanmasından sonraki 15 dakika içinde kitlesel saldırıların başlamasını beklediğini açıkladı. Güvenlik firması watchTowr ise açıkları yeniden üretebildiğini duyurdu ve sahada istismar edildiğini raporladı. Aktif istismara dair bu bilgi henüz resmî bir kaynakla teyit edilmiş değil.

Kimler etkileniyor ve ne yapılmalı

PHP güvenlik ekibine göre açıklar, web isteklerine hizmet veren tüm PHP kurulumlarını etkiliyor. Bu kapsamda PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed gibi yaygın çalışma ortamları yer alıyor. Açıkları keşfeden araştırmacılara göre etkilenen sürümler PHP 5.4’ten PHP 8’e kadar uzanıyor.

PHP güvenlik ekibi, desteklenen dört sürüm dalı için yamalı sürümleri yayımladı:

Tablonun dışında kalan sürümler ise ayrı bir sorun oluşturuyor. PHP 8.1 ve öncesi, PHP projesinin güvenlik desteği kapsamında değil ve bu sürümler için yama yayımlanmadı. Bu sürümleri kullanan sistemler için tek kalıcı çözüm, desteklenen ve yamalı bir sürüme yükseltme yapmak.

Sistem yöneticilerinin ilk adımı, sunucularında hangi PHP sürümünün çalıştığını tespit etmek. Bu bilgi sunucu komut satırından, barındırma hizmetinin yönetim panelinden ya da hizmet sağlayıcıdan öğrenilebiliyor. Aynı sunucuda birden fazla PHP sürümünün bulunabileceği de unutulmamalı. PHP2Shell açığına karşı korumanın sağlanması için web isteklerine hizmet veren her sürümün ayrı ayrı kontrol edilmesi gerekiyor.

Bu durum, özellikle uzun süre güncellenmemiş eski sistemleri barındıran kurumlar için ciddi bir iş yükü anlamına geliyor. Bir PHP sürümünden diğerine geçiş, uygulamanın da yeni sürümle uyumlu hale getirilmesini gerektirebiliyor. Bu nedenle eski sistemler, Başkanlığın taramalarında en çok öne çıkması beklenen grup olacak.

Hazır web sitesi altyapılarını kullananlar için de durum benzer. WordPress, Drupal, Joomla ve Magento gibi yaygın platformlar PHP üzerinde çalışıyor. Bu platformların kendi sürümlerinin güncel olması PHP2Shell açığına karşı koruma sağlamıyor. Paylaşımlı barındırma hizmeti kullanan site sahiplerinin, hizmet sağlayıcılarının PHP sürümünü güncelleyip güncellemediğini teyit etmesi gerekiyor.

Geçici önlemler ve yapılandırma ayarlarına dair ayrıntılar, PHP’nin resmî güvenlik bildiriminde ve Başkanlığın TR-26-1372 numaralı duyurusunda yer alıyor. Sistem yöneticilerinin bu kaynakları esas alması ve kendi ortamlarına uygun olmayan geçici ayarları uygulamadan önce etkilerini değerlendirmesi öneriliyor.

PHP’nin yaygınlığı ve Türkiye için önemi

PHP, internetin en yaygın sunucu tarafı programlama dillerinden biri. Sunucu tarafında hangi dili kullandığı tespit edilebilen web sitelerinin yaklaşık dörtte üçü PHP ile çalışıyor. Bu yaygınlık, PHP2Shell’i yalnızca belirli bir sektörü değil, internetin önemli bir bölümünü ilgilendiren bir tehdide dönüştürüyor.

Türkiye’de de belediyelerin, üniversitelerin, kamu kurumlarının ve özel şirketlerin web sitelerinin önemli bir kısmı PHP tabanlı altyapılar üzerinde çalışıyor. Bu sistemlerin bir bölümü vatandaşa yönelik çevrim içi hizmetler sunuyor ve kişisel veri işliyor. Bir kurumun internete açık PHP sunucusunun ele geçirilmesi, yalnızca o sitenin değil, sunucuyla bağlantılı iç sistemlerin de risk altına girmesi anlamına gelebiliyor.

Siber Güvenlik Başkanlığı’nın müdahalesi, 2025’te kurulan Başkanlığın kritik altyapıların korunmasındaki koordinasyon rolünün somut bir örneği. Başkanlık son haftalarda yalnızca teknik tehditlerle değil, sosyal medyada yaş doğrulama düzenlemesi gibi dijital politika alanlarında da gündemde yer alıyor. PHP2Shell uyarısı ise Başkanlığın asıl görev alanı olan ulusal siber savunmadaki yerini öne çıkarıyor.

Asıl risk yama ile istismar arasındaki pencerede

PHP2Shell açığı, yamaların yayımlandığı gün tam anlamıyla bir zamana karşı yarışa dönüştü. Açık ayrıntılarının yamalardan önce sızması, saldırganların savunmacılarla aynı anda harekete geçmesine imkân tanıdı. Bu nedenle kurumların güncellemeleri günler değil, saatler içinde uygulaması kritik önem taşıyor. Güncellemenin ardından sistem kayıtlarının incelenmesi de önem taşıyor; çünkü yama, yama öncesinde gerçekleşmiş olası bir sızmanın izlerini ortadan kaldırmıyor.

Uzun vadeli risk ise PHP2Shell açığından etkilenen ama desteği sona ermiş PHP sürümlerinde. Bu sürümleri kullanan sistemler yama alamayacağı için, Başkanlığın ulusal taramaları asıl olarak bu sistemlerin tespit edilip yükseltilmesi açısından belirleyici olacak.

Sıkça Sorulan Sorular

PHP2Shell açığı nedir?

PHP2Shell, PHP’nin kendisinde tespit edilen ve CVE-2026-109618 ile CVE-2026-109619 numaralarıyla izlenen iki kritik güvenlik açığının ortak adı. Açıklar, belirli koşullarda saldırganın kimlik doğrulaması olmadan sunucuda kod çalıştırmasına imkân verebiliyor.

Hangi PHP sürümleri PHP2Shell’den etkileniyor?

Açıklar, web isteklerine hizmet veren PHP kurulumlarını etkiliyor. Keşfeden araştırmacılara göre etkilenen sürümler PHP 5.4’ten PHP 8’e kadar uzanıyor. PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed gibi çalışma ortamları kapsamda.

PHP2Shell için hangi sürümler güvenli?

PHP güvenlik ekibi 21 Ekim 2026’da PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. Bu sürümler iki açığın düzeltmelerini içeriyor. Desteği sona ermiş eski PHP sürümleri için yama yayımlanmadı.

Sitem WordPress ile çalışıyor, PHP2Shell’den etkilenir miyim?

Etkilenebilir. Açıklar uygulamada değil PHP’nin kendisinde bulunduğu için WordPress gibi platformların güncel olması tek başına yeterli değil. Sunucudaki PHP sürümünün yamalı sürümlerden birine yükseltilmesi gerekiyor.

Kurumlar PHP2Shell’e karşı ne yapmalı?

Siber Güvenlik Başkanlığı, internete açık sistemlerin gözden geçirilmesini, güvenlik güncellemelerinin ivedilikle uygulanmasını, gereksiz dış erişimlerin sınırlandırılmasını ve kritik servislerde ilave koruma tedbirleri alınmasını öneriyor. Kurumların TR-26-1372 numaralı resmî duyurudaki tedbirleri uygulaması gerekiyor.