PHP2Shell Nedir? PHP Siteleri Neden Çöktü veya Kapatıldı?

Ekim 2026’da bazı web sitelerinin erişime kapanması, “PHP çöktü mü?” sorusunu gündeme getirdi. Kısa cevap şu: PHP bütünüyle çalışmayı bırakmadı. PHP2Shell adıyla anılan güvenlik açıkları nedeniyle bazı işletmeler hizmetlerini önlem olarak durdurdu. Bazı saldırı girişimleri ise PHP süreçlerinde bellek tükenmesi hataları oluşturdu. Erişilemeyen her siteyi aynı nedenle açıklamak doğru değil.

Bir sitenin kapalı olması, tek başına saldırganların içeri girdiğini göstermez. Bakım kararı, güvenlik önlemi, uygulama hatası ve başarılı saldırı birbirinden farklı durumlardır. PHP2Shell olayını anlamak için önce bu ayrımı yapmak gerekiyor.

PHP2Shell nedir?

PHP2Shell, PHP çalışma ortamında bulunan CVE-2026-109618 ve CVE-2026-109619 numaralı iki kritik güvenlik açığı için kullanılan isim. Bir hosting şirketi, içerik yönetim sistemi ya da kapanan bir platform değil.

Wiz’in araştırmasına göre sorunlar, PHP’nin istekleri işlerken karşılaştığı ölümcül hatalar ve sonrasındaki bellek yönetimiyle ilişkili. Uygun koşullarda süreç belleğinden bilgi sızdırılmasına veya kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına yol açabiliyorlar. Araştırmacılar WordPress, Drupal ve Joomla kurulumlarında örnekler göstermiş olsa da mesele yalnızca bu uygulamalardan kaynaklanmıyor.

Bu nedenle “Benim eklentilerim güncel, bana bir şey olmaz” düşüncesi yeterli değil. Uygulamanın altında çalışan PHP sürümünü ve barındırma ortamını da değerlendirmek gerekiyor.

PHP siteleri neden kapatıldı?

Kesintilerin bir kısmı teknik bir çökmeden değil, bilinçli olarak alınan güvenlik kararlarından doğdu. Barındırma sağlayıcıları, yamalar uygulanırken müşterilerinin sistemlerini internete açık bırakmak istemedi.

Bunun somut örneklerinden biri İsviçreli hosting sağlayıcısı cyon. Şirket, kendi olay açıklamasında 21 Ekim’de 100 binden fazla siteyi geçici olarak çevrimdışı bıraktığını ve ertesi sabah hizmetleri geri açtığını belirtiyor. Aynı açıklamada, o tarih itibarıyla müşterilerine yönelik başarılı saldırı bulgusuna rastlanmadığını da söylüyor.

Buradaki tercih, kısa süreli erişim kaybıyla olası bir veri ihlalinin sonuçlarını karşılaştırmak üzerine kurulu. Müşteri açısından ikisi de “site açılmıyor” olarak görünebilir. Ancak teknik ekip açısından önleyici kapatma ile ele geçirilmiş bir sistemi kurtarma süreci aynı iş değildir.

Açık gerçekten kullanıldı mı, yoksa risk abartıldı mı?

İlk günlerdeki açıklamaları tarihinden kopararak okumamak gerekiyor. Wiz’in 27 Ekim tarihli takibinde, kendi gözlemlediği bazı girişimlerin bellek tükenmesine ulaştığı, fakat saldırı zincirini tamamlayamadığı anlatılıyor. Bu, açıkların gerçek olmadığı anlamına gelmiyor; gözlemlenen girişimlerin sonucunu tarif ediyor.

Sophos’un güncellenen olay yazısı da bu ayrımın neden önemli olduğunu gösteriyor. Şirket, erken bir başarılı saldırı değerlendirmesini sonradan düzeltti; aynı yazının sonraki güncellemelerinde ise internete açık PAN-OS yönetim arayüzlerine yönelik hedefli istismar bildirimlerini aktardı.

Dolayısıyla iki uç yorum da sorunlu: “Bütün PHP siteleri ele geçirildi” demek de “Kimseye bir şey olmadı, güncellemeye gerek yok” demek de eldeki kanıtları aşar. Her sistemin sürümü, yapılandırması ve olay kayıtları ayrı incelenmelidir.

PHP2Shell için hangi güncellemeler yayımlandı?

PHP ekibinin 21 Ekim 2026 tarihli duyurusunda iki açık için PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümleri yayımlandı. Bunlar olay sırasında çıkan düzeltme sürümleri; ileride bu yazıyı okuyan biri, kendi sürüm dalının güncel güvenlik paketini ayrıca kontrol etmeli.

Linux dağıtımları ve uzun süreli destek sağlayıcıları yamaları mevcut paketlerine geri taşıyabilir. Bu yüzden yalnızca ekranda görünen sürüm numarasından karar vermek yerine, kullanılan paketin sağlayıcı duyurusuna bakılmalı. PHP ekibi, web isteği işleyen PHP-FPM ve diğer çalışma biçimlerinin de risk değerlendirmesine dahil olduğunu belirtiyor.

Site sahibi olarak neyi kontrol etmelisiniz?

Barındırma sağlayıcınıza “PHP güncel mi?” sorusundan biraz daha ayrıntılı bir talep iletin:

Web sitesini çalıştıran PHP paketini doğrulatın. Terminalde görünen sürümle web isteklerini karşılayan süreç aynı olmayabilir.
Güvenlik yamasının uygulandığına dair paket veya sağlayıcı kaydını isteyin. “Otomatik güncelleme açık” cevabı, bu olayın giderildiğini tek başına doğrulamaz.
Çalışan servislerin yeni paketi kullandığını kontrol ettirin. Güncelleme sonrasında uygulamanın giriş, form, dosya yükleme ve ödeme gibi önemli akışlarını test edin.
Kesintinin nedenini belgeleyin. Önleyici kapatma mı yapıldı, hata mı oluştu, yoksa ihlal bulgusu mu var? Her biri farklı takip gerektirir.
Şüpheli etkinlik varsa olay incelemesi yaptırın. Yeni bir paket kurmak, önceden gerçekleşmiş olası bir ihlalin izlerini otomatik olarak ortadan kaldırmaz.

Bu liste, sunucuda rastgele ayar değişiklikleri yapmak için değil, teknik ekiple aynı sorular üzerinden ilerlemek için kullanılmalı. WAF veya geçici filtre uygulamalarıyla ilgili kararlar da sistemin koşullarına göre alınmalıdır.

PHP kullanmayı bırakmak gerekiyor mu?

PHP2Shell tek başına bütün PHP projelerini başka bir teknolojiye taşıma gerekçesi oluşturmaz. Böyle bir kararın bakım kapasitesi, bağımlılıklar, destek süresi ve iş ihtiyaçlarıyla birlikte değerlendirilmesi gerekir.

Bir geliştirici olarak bu olaydan çıkardığım temel ders, güvenlik sorumluluğunun uygulama koduyla bitmediği. Framework, çalışma ortamı, sunucu paketi ve güncelleme süreci aynı ürünün parçaları. SaaS projelerinde güvenlik yaklaşımını anlattığım yazıda da ele aldığım gibi, tek bir koruma katmanının bütün riski üstlenmesini beklemek sağlıklı değil.

PHP2Shell nedeniyle yaşanan kesintilerin ortak bir açıklaması yok. Bazı hizmetler koruma amacıyla durduruldu, bazı girişimler hata üretti ve belirli ortamlara yönelik istismar bildirimleri yayımlandı. Kendi siteniz için doğru cevap, genel bir haber başlığından değil; sağlayıcınızın açıklamasından, yama durumundan ve sistem kayıtlarından çıkar.

Kaynaklar 5 Kasım 2026 tarihinde kontrol edildi. Yeni güvenlik duyuruları yayımlandıkça sürüm ve olay bilgileri yeniden değerlendirilmelidir.