- Ana sayfa
- Bizden haberler
- Rehber
PHP2Shell açığı nedir? WordPress siteniz yamalandı ama temiz mi?
PHP2Shell (CVE-2026-109618) açığı neden WordPress panelinden kapanmaz? Sitenizin sürümünü kontrol etme, arka kapı riskleri ve kalıcı çözüm rehberi.
Sabah ofise geliyorsunuz, bir müşterinize fiyat teklifi e-postası gönderiyorsunuz ama öğleden sonra telefon geliyor: "Teklifiniz gelmedi, spam kutusuna düşmüş." Aynı hafta Google'da kendi firmanızın adını arattığınızda, sitenizin altında hiç satmadığınız ürünlerin veya yasa dışı bahis sayfalarının bağlantılarını görüyorsunuz. Web siteniz ekranda normal açılıyor, WordPress panelinizde tüm eklentiler güncel görünüyor ama arka tarafta sunucunuz çoktan başkasının eline geçmiş. Son günlerde küresel çapta yaşanan PHP2Shell krizi tam olarak bu tabloyu yaratıyor.
01PHP2Shell açığı nedir ve neden tehlikelidir?
PHP2Shell, Ekim 2026'da duyurulan ve CVE-2026-109618 ile CVE-2026-109619 kodlarıyla takip edilen, PHP programlama dilinin doğrudan kendi çekirdeğinde bulunan kritik (CVSS 9.2) bir uzaktan kod çalıştırma açığıdır. Bu açık, saldırganların hiçbir kullanıcı adı veya şifreye ihtiyaç duymadan, dışarıdan gönderdikleri özel bir istekle web sunucunuzun kontrolünü ele geçirmesine izin verir.
Sorunun kaynağı iki temel bellek hatasıdır. Birincisi (CVE-2026-109618), sunucu büyük bir dosya yüklemesi veya yoğun veri sırasında bellek sınırına dayandığında bozuk veriyi geçerli kabul ederek yabancı komutları çalıştırır. İkincisi (CVE-2026-109619), bir önceki ziyaretçiden kalan bellek izlerinin temizlenmemesi nedeniyle sonraki istekte sunucu durumunun istismar edilmesine yol açar.
Dünyadaki tüm WordPress ve WooCommerce siteleri PHP üzerinde çalıştığı için, hangi temayı veya güvenlik eklentisini kullandığınızdan bağımsız olarak, sunucusunda yamalı olmayan PHP sürümü barındıran her işletme doğrudan hedef hâline gelmiştir.
02WordPress panelinden güncelleme yapmak neden yetmez?
WordPress yönetim paneline girip çekirdek sürümü, temaları ve eklentileri güncellemek PHP2Shell açığını kapatmaz. Çünkü hata WordPress'in kendi dosyalarında değil, WordPress'i çalıştıran alt katmandaki PHP motorundadır.
Bir benzetmeyle düşünürsek: WordPress binanın içindeki mobilyadır, PHP ise binanın oturduğu beton temeldir. Panelden eklenti güncellemek yalnızca mobilyaların yerini değiştirir; temeldeki çatlağı onarmak için doğrudan sunucu (hosting veya sanal sunucu) düzeyinde PHP sürümünün güncellenmesi şarttır.
| PHP dalı | Riskli sürümler | Güvenli (yamalı) sürüm | Durum ve yapılması gereken |
|---|---|---|---|
| PHP 7.4, 8.0, 8.1 | Tüm alt sürümler | Resmi yama yok | Desteği tamamen bitti; üst sürüme geçiş şart |
| PHP 8.2 | 8.2.34 ve öncesi | 8.2.35 | Sunucu panelinden hemen güncellenmeli |
| PHP 8.3 | 8.3.35 ve öncesi | 8.3.36 | Sunucu panelinden hemen güncellenmeli |
| PHP 8.4 | 8.4.26 ve öncesi | 8.4.27 | Sunucu panelinden hemen güncellenmeli |
| PHP 8.5 | 8.5.11 ve öncesi | 8.5.12 | Sunucu panelinden hemen güncellenmeli |
03Tanıtım sitemde önemli veri yok diyen bir firma ne kaybeder?
Pek çok işletme sahibi "Bizim sitemizde kredi kartı geçmiyor, sadece ürün kataloglarımız ve iletişim bilgilerimiz var; saldırgan girse ne alacak?" diye düşünür. Oysa otomatik saldırı botları sitenizdeki fotoğrafları değil, alan adınızın (domain) yıllar içinde kazandığı Google ve e-posta itibarını çalar.
| Teknik ihlal | İşletmeye gerçek maliyeti |
|---|---|
| Gizli SEO spam sayfaları | Firma adınız Google'da kumar, sahte ilaç veya yetişkin içeriklerle yan yana çıkar; organik sıralamanız çöker |
| Ziyaretçi yönlendirme | Reklamla veya Google'dan gelen gerçek müşteriler dolandırıcılık sitelerine yönlendirilir; siz ofisteki bilgisayardan girdiğinizde normal sayfayı görürsünüz |
| Sunucudan toplu spam gönderimi | Alan adınız ve sunucu IP adresiniz küresel kara listelere girer; müşterilerinize gönderdiğiniz gerçek teklif ve faturalar spam klasörüne düşer |
| Google kırmızı uyarı ekranı | Chrome ve Safari ziyaretçilerinize "Bu site tehlikeli" uyarısı gösterir; trafiğiniz ve kurumsal güveniniz bir gecede sıfırlanır |
| Sahte banka ve oltalama sayfası | Sunucunuzun alt klasörlerine sahte banka giriş ekranları yerleştirilir; hosting hesabınız askıya alınır ve hukuki süreçlerle uğraşırsınız |
| İletişim formu ve müşteri verisi sızıntısı | Sitenizden geçen teklif formları ve bayi şifreleri kopyalanır; kişisel veri ihlali bildirim yükümlülüğü doğar |
Kısacası "sitemde çalınacak bir şey yok" düşüncesi yanıltıcıdır. Kaybedilen şey veritabanı değil, şirketin ticari itibarı ve haberleşme kanalıdır.
04Sitenizin PHP sürümünü 2 dakikada nasıl kontrol edersiniz?
Teknik ekibiniz olmasa bile WordPress sitenizin hangi PHP sürümünde çalıştığını kendi başınıza iki dakikada görebilirsiniz:
- WordPress yönetim panelinize girin. Her zaman kullandığınız yönetici adresinden (
/wp-admin) giriş yapın. - Site Sağlığı ekranını açın. Sol menüden sırasıyla Araçlar (Tools) ve Site Sağlığı (Site Health) sekmesine tıklayın.
- Bilgi sekmesine geçin. Üst kısımdaki Bilgi (Info) sekmesine tıklayın ve listeden Sunucu (Server) başlığını açın.
- PHP sürümü satırını okuyun. Buradaki rakam
8.2.35,8.3.36,8.4.27veya8.5.12değerlerinden düşükse (ya da7.4,8.0,8.1ile başlıyorsa) sunucunuz açık durumdadır.
WordPress paneline erişiminiz yoksa veya özel bir PHP yazılımı kullanıyorsanız, sayfanın altındaki bağlantıdan site adresinizi bize iletebilirsiniz; dışarıya açık sunucu başlıklarınızdan sürüm durumunuzu birkaç dakikada kontrol edebiliriz.
05Yamalanmış bir site neden hâlâ temiz olmayabilir?
Güvenlik dünyasında en sık atlanan gerçek şudur: Yama yapmak, daha önce içeri girmiş olan saldırganı dışarı çıkarmaz.
PHP2Shell açığına yönelik otomatik tarama ve saldırılar 21 Ekim 2026 sabahı başladı. Eğer hosting firmanız veya sunucu yöneticiniz yamayı 24 Ekim'de ya da bu hafta uyguladıysa, aradaki günlerde sunucunuz savunmasız kaldı demektir. Saldırı botları bir sunucuya sızdığında ilk iş olarak kendilerine kalıcı bir arka kapı (backdoor) bırakır:
- Masum bir resim dosyası (
logo.icoveyacache.php) gibi görünen gizli komut dosyaları eklerler. - WordPress veritabanına (
wp_userstablosuna) panel listesinde gizlenen yeni bir yönetici hesabı tanımlarlar. - Sunucunun zamanlanmış görevlerine (
cron) her gece zararlı dosyayı yeniden indiren bir satır yazarlar.
Bu yüzden PHP sürümünü güncellemek yalnızca kapının kilidini değiştirmektir. İçeride birinin saklanıp saklanmadığını anlamak için 21 Ekim sonrasında değişen dosyaların, yönetici hesaplarının ve zamanlanmış görevlerin tek tek denetlenmesi gerekir.
06WooCommerce ve WordPress'ten kalıcı çıkış nasıl yapılır?
Bir blog yazılımı olarak doğan WordPress'in üzerine otuz ayrı eklenti kurarak B2B bayi siparişi, stok veya yüksek hacimli e-ticaret yönetmeye çalışmak, her ay yeni bir güvenlik yaması ve eklenti çakışmasıyla yaşamak demektir. Üstelik bir eklentiyi güncellediğinizde sepetteki ödeme adımı bozulabilir; güncellemediğinizde ise sunucunuz açık hedef hâline gelir.
LABONNI olarak kurduğumuz sistemlerde bu döngüyü kökünden değiştiriyoruz:
- Sunucusuz kenar (Edge) mimarisi: Tanıtım ve içerik sayfalarınız arkada çalışan bir PHP yorumlayıcısı olmadan, doğrudan küresel CDN uç noktalarından açılır. Ortada ele geçirilecek bir PHP süreci veya kilitlenecek bir sunucu yoktur.
- İzole ve kurallı B2B altyapısı: Toptan satış, bayi fiyat grupları, açık hesap limitleri ve muhasebe entegrasyonları eklentilerle değil, doğrudan bu iş için yazılmış çekirdek mimariyle çalışır. Hazır bayi portalımız Bayibox ve otomotiv sektörü için geliştirdiğimiz oto yedek parça B2B sistemimiz bu yapının canlı örnekleridir.
- Sıfır bakım stresi ve veri sahipliği: PHP sürümü yükseltme, eklenti aboneliği yenileme veya "güncellersem sitem bozulur mu" endişesi yaşanmaz. Cironuzdan pay yok. Veriniz ve alan adınız sizde; verilerinizi istediğiniz zaman dışa aktarabilirsiniz.
Mevcut WordPress veya WooCommerce sitenizden geçiş yaparken ürünlerinizi, müşteri carilerinizi ve Google'daki mevcut sayfa adreslerinizi (SEO yönlendirmeleriyle) kayıpsız taşıyoruz. Paket ve çalışma modellerimizi fiyat sayfamızda inceleyebilirsiniz.
07Sık sorulan sorular
Hosting firmam sunucuyu güncellediğini söyledi, yine de risk var mı?
Evet. Hosting firmasının PHP sürümünü güncellemesi yalnızca bundan sonra gelecek saldırıları engeller. Açığın duyurulduğu 21 Ekim ile yamanın yapıldığı gün arasında sunucunuza otomatik botlar tarafından bir arka kapı dosyası veya gizli yönetici hesabı eklendiyse, bu zararlı yazılımlar güncellenmiş sunucuda çalışmaya devam eder.
Wordfence veya benzeri bir güvenlik eklentisi kullanıyorum, beni korur mu?
Eklenti tabanlı güvenlik duvarları WordPress yüklendikten sonra devreye girer. PHP2Shell açığı ise doğrudan PHP çalışma zamanında (WordPress henüz devreye girmeden veya bellek temizliği sırasında) gerçekleştiği için, yalnızca WordPress eklentisine güvenmek yeterli koruma sağlamaz; sunucu seviyesinde yama ve Cloudflare gibi ağ katmanı koruması gerekir.
PHP sürümümü 7.4'ten 8.3'e yükseltirsem sitem bozulur mu?
Sitenizde eski bir tema veya yıllardır güncellenmemiş özel eklentiler varsa bozulma ihtimali yüksektir. Bu durumda geçişi doğrudan canlı sitede yapmak yerine, önce uyumsuz eklentileri tespit etmek veya eski yapıyı yamamak yerine modern bir altyapıya taşımak daha sağlıklıdır.
Sitemin temiz olup olmadığını nasıl kontrol ediyorsunuz?
İlk aşamada sitenizin dışarıya açık sunucu başlıklarını, PHP sürüm bilgisini ve bilinen zararlı yönlendirme izlerini ücretsiz kontrol ediyoruz. Sunucu içi detaylı inceleme gerektiğinde ise 21 Ekim sonrası değişen dosyaları, veritabanındaki yönetici kayıtlarını ve zamanlanmış görevleri tarayarak size yazılı bir durum raporu sunuyoruz.
WooCommerce sitemizi Bayibox'a veya özel sisteme taşırken siparişlerimiz durur mu?
Durmaz. Yeni sisteminiz ayrı bir test adresinde kurulur, ürün ve bayi verileriniz aktarılır ve ekibinizle birlikte test edilir. Her şey doğrulandığında alan adınız dakikalar içinde yeni sisteme yönlendirilir; iş akışınız kesintiye uğramaz.