21 Ekim 2026 · PHP2Shell
Ne oldu?
Web sitelerinin büyük bölümünü çalıştıran PHP’de iki kritik güvenlik açığı bulundu. “PHP2Shell” adıyla anılan açıklar, saldırganın şifre ya da giriş gerekmeden sunucuda kod çalıştırmasına imkân veriyor.
PHP geliştiricileri açıkları 21 Ekim 2026’da yayımladıkları güncellemeyle kapattı. ABD’de FBI, NSA ve CISA, Avrupa’da CERT-EU güncellemenin hemen yapılmasını, yapılamıyorsa sitenin geçici olarak erişime kapatılmasını önerdi. Japonya, Hollanda, Norveç ve Finlandiya’da bazı kamu siteleri önlem olarak kapatıldı.
Açık, sitenizin temasında ya da eklentisinde değil; siteyi çalıştıran PHP’nin kendisinde. Siteniz yeni olsa bile sunucudaki PHP güncellenmediyse risk sürer. Açığı bulan araştırmacılar, WordPress, Joomla, Drupal ve Magento’nun bazı sürümlerinde de giriş yapmadan kod çalıştırabildiklerini doğruladı.
9,2 / 10
Risk puanı (CVSS 4.0). İki açık da “kritik” sınıfında.
Şifre gerekmiyor
Saldırı için yönetici hesabı ya da panel erişimi gerekmiyor; sitenin internete açık olması yetiyor.
21 Ekim 2026
Güvenli sürümler yayımlandı. Güvenlik firmaları saldırı denemelerini 17 Ekim’den beri görüyor.
%70
Sunucu dili bilinen web sitelerinin yaklaşık %70’i PHP ile çalışıyor.
Risk
Siteniz risk altında mı?
Aşağıdakilerden biri sizin için geçerliyse sitenize bakılmalı.
- Siteniz WordPress, WooCommerce, OpenCart, Joomla ya da PHP ile yazılmış özel bir yazılımla çalışıyor
- Sitenizin hangi PHP sürümünde çalıştığını bilmiyorsunuz
- Siteniz PHP 8.1 ya da daha eski bir sürümde çalışıyor
- Hosting firmanız 21 Ekim’den sonra güncelleme yaptığını bildirmedi
- Sitenizde müşteri bilgisi, sipariş ya da form kayıtları tutuluyor
Güvenli PHP sürümleri
Sunucunuzdaki PHP, tablodaki güvenli sürümlerden eskiyse güncellenmesi gerekiyor. PHP 8.1 ve öncesi için resmî sürüm çıkmadı; sınırlı yamalar ancak kaynak koddan derlenerek uygulanabiliyor. Bu sürümlerdeki sitelerin desteklenen bir sürüme taşınması gerekiyor.
| Kullandığınız sürüm | Güvenli sürüm |
|---|---|
| PHP 8.5 | 8.5.12 ve üstü |
| PHP 8.4 | 8.4.27 ve üstü |
| PHP 8.3 | 8.3.36 ve üstü |
| PHP 8.2 | 8.2.35 ve üstü |
| PHP 7.4 – 8.1 | Resmî güncelleme yok |
| PHP 7.3 ve öncesi | Destek dışı, yama yok |
Ücretsiz kontrol
Kontrolde ne yapıyoruz?
Site adresinizi gönderin
Formu doldurun ya da WhatsApp’tan yazın. Şifre ya da panel bilgisi istemiyoruz.
Dışarıdan inceliyoruz
Sunucunun verdiği yanıtlara, sitenin altyapısına (WordPress, tema, eklentiler) ve dışarıdan görülebilen PHP sürümü izlerine bakıyoruz.
Sonucu iletiyoruz
Ne gördüğümüzü sade bir dille WhatsApp’tan yazıyoruz: risk var mı, ne yapılmalı, ne kadar sürer.
Gerekirse aynı gün güncelliyoruz
Onay verirseniz önce tam yedek alıyor, PHP’yi ve siteyi güncelliyor, ardından sayfaların ve formların sorunsuz çalıştığını kontrol ediyoruz.
Dışarıdan kontrolün sınırı
Birçok sunucu PHP sürümünü dışarıya göstermez. Böyle bir durumda sürümü hosting panelinizden nasıl göreceğinizi adım adım anlatıyoruz ya da izninizle birlikte bakıyoruz. Kesin olmayan bir sonucu “güvende” diye bildirmiyoruz.
Siteniz güvende mi?
Bugün kontrol edelim.
Site adresinizi ve WhatsApp numaranızı yazın; sitenizi inceleyip sonucu size iletelim.
- Kontrol ücretsiz, hiçbir yükümlülük doğurmaz
- Güncelleme gerekiyorsa aynı gün yapıyoruz: 3.500 TL’den başlayan fiyatlarla
- Eski altyapı güncellemeyi kaldırmıyorsa 2 iş günü içinde yeni sitenize başlıyoruz
- Sitenizi hangi firma yapmış olursa olsun bakıyoruz
ya da arayın: 0264 281 20 20
Ücretsiz Site Kontrolü
SSS
Sıkça sorulan sorular
Sorunuz burada yoksa WhatsApp’tan yazın; birlikte bakalım.
Sitemin PHP sürümünü nasıl öğrenirim?
Hosting panelinizde (cPanel, Plesk, DirectAdmin) “PHP Sürümü” ya da “PHP Ayarları” bölümünde yazar. WordPress kullanıyorsanız yönetim panelinde Araçlar → Site Sağlığı → Bilgi → Sunucu bölümünde görünür. Bulamazsanız site adresinizi gönderin, birlikte bakalım.
Hosting firmam bunu kendisi güncellemez mi?
Firmaların çoğu sunucularını günceller; ancak sitenin hangi PHP sürümüyle çalışacağı çoğu zaman panelden site site seçilir. Sitenize PHP 8.1 ya da daha eski bir sürüm seçiliyse sunucu güncellense bile siteniz o eski sürümle çalışmaya devam eder.
PHP’yi güncellemek sitemi bozar mı?
Eski bir tema ya da eklenti yeni PHP sürümüyle uyumsuz olabilir; bu yüzden panelden sürümü değiştirip bırakmak risklidir. Biz önce tam yedek alıyor, değişikliği yapıyor, sonra sayfaları, formları ve varsa ödeme adımlarını tek tek kontrol ediyoruz. Sorun çıkarsa yedeğe dönüyoruz.
Cloudflare kullanıyorum, güvende miyim?
Cloudflare, bilinen saldırı yöntemlerine karşı kurallar yayımladı; bu iyi bir ek önlem ama yalnızca Cloudflare üzerinden gelen trafiği kapsar ve Cloudflare da bunu geçici çözüm olarak tanımlıyor. Kalıcı çözüm PHP güncellemesidir.
Kontrol gerçekten ücretsiz mi?
Evet. Kontrol ve sonucun size iletilmesi ücretsizdir, yükümlülük doğurmaz. Güncelleme ya da düzeltme gerekiyorsa fiyatı önceden söylüyoruz; onayınız olmadan işlem yapmıyoruz.
Sitem saldırıya uğramışsa ne olur?
Kontrolde şüpheli dosya ya da değişiklik izi görürsek bunu da bildiriyoruz. Temizlik ve güvenlik sıkılaştırması, sitenin durumuna göre ayrıca fiyatlandırılır.
Kaynaklar: CISA uyarısı, Tenable, Rapid7, Anadolu Ajansı. Açık kodları: CVE-2026-109618, CVE-2026-109619. Bilgiler 22 Ekim 2026 itibarıyla günceldir.