PHP2Shell kontrol listesi: sitem WordPress'te / hazır hostingde, ne yapmalıyım? (22.10.2026)
PHP'deki iki kritik açık (CVE-2026-109618 ve CVE-2026-109619, risk puanı 9,2/10) sitenin kendisinde değil, sunucudaki PHP'de. Bu yüzden WordPress'i ya da eklentileri güncellemek bu açığı kapatmıyor.
1. PHP sürümüne bak
- Hosting paneli (cPanel): "PHP Sürümünü Seç" ya da "MultiPHP Yöneticisi" ekranı.
- WordPress: Araçlar › Site Sağlığı › Bilgi › Sunucu.
- Güvenli sürümler: 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35 (ve üstü).
- 8.1 ve öncesi: PHP projesinden resmî güncelleme yok. Hosting firmanın ya da Linux dağıtımının yaması var mı sor; kalıcı çözüm 8.3 ya da 8.4'e geçmek.
- Not: Ubuntu/Debian gibi dağıtımlar düzeltmeyi eski sürüm numarasının üzerine ekleyebiliyor; bu yüzden en kesin cevap hosting firmasından gelir.
2. Hosting firmana yazılı sor (kopyala-yapıştır)
Merhaba, PHP'nin 21 Ekim 2026 tarihli güvenlik güncellemeleri (CVE-2026-109618, CVE-2026-109619) sitemin bulunduğu sunucuya uygulandı mı? PHP servisleri (PHP-FPM / Apache / LiteSpeed) güncellemeden sonra yeniden başlatıldı mı? Sitem PHP 8.1 ya da daha eski bir sürümdeyse güvenli bir sürüme ne zaman taşınacak?
Yalnızca "geçici ayar değişikliği yaptık" cevabı güncellemenin yerini tutmuyor; PHP güvenlik ekibi tam çözümün güncelleme olduğunu söylüyor.
3. Şifreleri yenile, iki adımlı doğrulamayı aç
Araştırmacılara (Wiz) göre açık, sunucu belleğindeki parola ve anahtarları da okuyabiliyor. Siten bir süre açıkta kaldıysa: - WordPress yönetici şifresi, veritabanı şifresi, hosting paneli ve e-posta şifresi - WordPress'te wp-config.php içindeki güvenlik anahtarlarını (salt) yenilemek açık oturumları da kapatır - Yönetici hesaplarında iki adımlı doğrulama - Tanımadığın yönetici hesabı ya da son günlerde eklenmiş şüpheli dosya var mı, kontrol et
4. Hemen güncellenemiyorsa
Resmî öneri: güncelleme yapılana kadar siteyi bakım moduna al ya da geçici olarak kapat (CISA ve FBI önerisi). Cloudflare gibi bir güvenlik duvarı (WAF) arkasındaysan ilgili kuralların açık olduğundan emin ol; bu kısmi koruma sağlar, çözüm değildir.
Sitesi olmayanlar için
Telefonuna ya da bilgisayarına yüklemen gereken bir şey yok; açık sunucu tarafında. "PHP güncellemesi", "hesabın risk altında" başlıklı e-posta ve SMS'lerdeki linklere tıklama: bu gündem oltalama için kullanılıyor.
Bonus: TR'de resmî adres
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı TR-26-1372 sayılı bildirimi yayımladı ve ulusal tarama başlattı. Bildirimdeki önlemler: güvenli sürüme geçmek, yönetim panellerini (wp-admin, phpMyAdmin, cPanel) yalnızca güvenilir IP adreslerine açmak, yurt dışından erişim gerekmeyen sistemleri uluslararası trafiğe kapatmak.
Resmî kaynaklar
- PHP güvenlik duyurusu: https://www.php.net/archive/2026.php#2026-10-21-5
- CISA uyarısı: https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
- Siber Güvenlik Başkanlığı: https://siberguvenlik.gov.tr