İçindekiler
21 Ekim 2026'da PHP ekibi, PHP2Shell adıyla anılan iki kritik güvenlik açığı için acil güncelleme yayınladı: CVE-2026-109618 ve CVE-2026-109619. İkisi de CVSS v4.0 ölçeğinde 9,2 puan aldı ve kimlik doğrulaması olmadan, yalnızca web üzerinden gönderilen istekle uzaktan kod çalıştırmaya yol açabiliyor.
Ne oldu?
İlk açık, PHP'nin bellek yetersizliği durumundaki hata yönetiminde, ikincisi ise bellek serbest bırakıldıktan sonra istek durumunun tutulmasında ortaya çıkıyor. Saldırgan başarılı olursa web sunucusunun çalıştığı kullanıcı yetkileriyle kod çalıştırabiliyor; bellek sızması yoluyla parola, token ve API anahtarlarının ele geçirilmesi de mümkün. Güvenlik firmaları WordPress, Drupal ve Joomla üzerinde de sömürüyü gösterdi.
Kimler etkileniyor?
PHP'nin web isteği karşıladığı tüm kurulumlar risk altında: Apache mod_php, PHP-FPM, php-cgi ve LiteSpeed. Açığın uygulama kodundan değil PHP'nin kendisinden kaynaklanması, sitenizdeki eklenti veya temayı güncel tutmanın tek başına yeterli olmadığı anlamına geliyor. Düzeltilmiş sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. PHP 8.1 ve öncesi resmî destek dışında.
Fiberserver müşterileri için durum
Fiberserver hosting sunucularında PHP güncellemeleri uygulandı. Paylaşımlı hosting ve cPanel hesaplarında sizin yapmanız gereken ek bir işlem yok; yine de kullandığınız PHP sürümünün güncel bir dal olduğundan emin olun. VDS ve dedicated sunucu kullanıyorsanız sunucudaki PHP sizin yönetiminizde olduğu için güncellemeyi sizin yapmanız gerekir.
Ne yapmalısınız?
- PHP sürümünüzü kontrol edin ve yukarıdaki düzeltilmiş sürümlerden birine geçin.
- Güncellemeden sonra PHP-FPM ve web sunucusunu yeniden başlatın.
- Hemen güncelleyemiyorsanız geçici olarak
session.upload_progress.enabled = Offayarını kullanın; bu tam çözüm değildir. - Sunucunuzda web sürecinden başlatılmış şüpheli kabuk,
curlveyawgetişlemi olup olmadığına bakın.
Adım adım komutlar, farklı işletim sistemleri ve kontrol panelleri için ayrıntılar, saldırı belirtileri ve kontrol listesi için PHP2Shell açığına karşı PHP güncelleme rehberini okuyabilirsiniz. Sunucunuzu kendiniz yönetmek istemiyorsanız cPanel web hosting paketlerimizde güncellemeler bizim tarafımızdan yapılır.