21 Ekim 2026 tarihinde PHP güvenlik ekibi, iki kritik uzaktan kod çalıştırma (RCE) açığı için yamalar yayımladı. Araştırmacı Kirill Firsov tarafından ortaya çıkarılan açık zinciri PHP2Shell olarak adlandırıldı. Her iki açık da CVSSv4.0 puanı 9.2 ile değerlendirildi; ikisi de kimlik doğrulaması gerekmeden, herhangi bir uygulama kodu çalışmadan önce istismar edilebiliyor.
Sunucunuzda PHP çalışıyorsa — ki neredeyse kesinlikle çalışıyordur — hemen güncelleyin.
Tam olarak ne bozuk?
CVE-2026-109618 — Yetersiz Bellek Bozulması
PHP, istek verisi yapılarını başlatırken belleği bitirebiliyor. Bu durum başlatma sürecinin ortasında gerçekleşirse iç veri yapıları yarım kalıyor. Temizlik kodu bunu farketmiyor; eksik kurulmuş veriyi geçerli kabul ederek devam ediyor. Sonuç: bir saldırganın rastgele kod çalıştırmasına kapı açan bellek bozulması.
CVE-2026-109619 — Bayat Global Durum
PHP-FPM ve mod_php gibi çok istekli işçi modellerinde, N. isteğe ait iç durum, bellekten serbest bırakıldıktan sonra silinmiyor. Aynı işçiyi kullanan N+1. istek, PHP yeniden başlatılmadan önce bu eski işaretçiyi okuyabiliyor ya da yazabiliyor. Kullanım-sonrası-serbest (use-after-free) olarak sınıflandırılan bu açık, kod çalıştırmanın yanı sıra bellek ifşasına da yol açıyor.
Her iki açık da PHP 5.4.0’dan bu yana mevcut olan kod yollarına dayanıyor; yani yamayı bekleyen kurulum sayısı son derece geniş. PHP Foundation, kamuoyuna dağıtımdan önce dolaşan 10.0 puanının yanlış olduğunu teyit etti; geçerli CVSSv4.0 puanı 9.2.
Kimler etkileniyor?
Web isteklerini karşılayan her PHP kurulumu risk altında:
- mod_php (Apache modülü) — en yüksek risk; açık uygulama kodu başlamadan tetiklenebiliyor
- PHP-FPM — etkileniyor
- php-cgi — etkileniyor
- FrankenPHP — etkileniyor
- LiteSpeed — etkileniyor
PHP 8.2 altındaki sürümler — hâlâ yaygın olan 7.4, 8.0 ve 8.1 dalları dahil — PHP projesi tarafından resmi yamalı bir sürüme kavuşturulmadı. Bu dallar için kaynak koduna minimal geri dönüşümler yayımlandı; ancak kullanım ömürlerini doldurmuş durumlar.
Hangi sürüme geçilecek?
PHP güvenlik ekibi 21 Ekim 2026 tarihinde şu yamalı sürümleri yayımladı:
| Dal | Yamalı sürüm |
|---|---|
| 8.5.x | 8.5.12 |
| 8.4.x | 8.4.27 |
| 8.3.x | 8.3.36 |
| 8.2.x | 8.2.35 |
Debian, Ubuntu, RHEL, AlmaLinux ve CloudLinux gibi büyük dağıtımlar yamaları kamuoyuna açıklamadan önce aldı. Paket kuyruğunuzda güncelleme bekliyor olabilir; dağıtımınızın güvenlik kanallarını kontrol edin.
Plesk kullanıcıları: iki ayrı güncelleme gerekiyor
Plesk, kendi PHP paketlerini barındırıyor ve panel için dahili bir PHP motoru (sw-engine / plesk-engine)
çalıştırıyor. Her ikisinin de ayrı ayrı güncellenmesi gerekiyor; birini güncellemek diğerini yamalamanın yerini
tutmuyor.
PHP seçicide görünen sürümler için Plesk installer üzerinden 8.5.12, 8.4.27, 8.3.36 veya 8.2.35’e geçin. Panelin kendi motoru için ise Plesk Obsidian 18.0.81 Update 4 ya da 18.0.80 Update 11 sürümüne güncelleme yapılması gerekiyor; ayrıntılar Plesk’in resmi açıklamasında yer alıyor.
Plesk üzerindeki PHP 5.6, 7.2 ve 7.3 sürümleri için projeden herhangi bir düzeltme gelmiyor. Plesk bu sürümler için ücretli TuxCare Extended Lifecycle Support’u öneriyor. Bu sürümlerden birini kullanıyorsanız dürüst cevap şu: yama beklemek yerine göç edin.
kalfaoglu.net müşterileri için ne anlama geliyor?
kalfaoglu.net’teki tüm paylaşımlı hosting hesapları PHP-FPM üzerinden çalışıyor. Sistem PHP paketleri yamalı
sürümlere güncellenmiş durumda. Ancak uygulamanız .user.ini, .htaccess veya Plesk PHP sürüm seçici
aracılığıyla belirli bir PHP sürümünü sabitlemiş olabilir; sabitlenmiş sürümün yukarıdaki dört yamalı sürümden
biri olduğunu kontrol edin.
PHP 8.1 veya altını çalıştırıyorsanız bu açıklamayı bir göç planlaması sinyali olarak değerlendirin. Bu dallar artık PHP projesi tarafından desteklenmiyor ve PHP2Shell, yamalamanın gelmeyeceği son kritik açık olmayacak. Daha yeni bir PHP dalına geçmeden önce uygulamanızı test etmek için yardıma ihtiyaç duyarsanız destek talebi açın.