PHP2Shell Kritik RCE Zafiyetleri Hakkında Bilmeniz Gerekenler

Siber güvenlik dünyası ve BT altyapı ekipleri son günlerde kritik bir tehdit ile karşı karşıya: PHP2Shell.

21 Ekim 2026 tarihinde PHP çekirdek ekibi tarafından duyurulan ve CVE-2026-109618 ile CVE-2026-109619 kodlarıyla kayıtlara geçen bu iki zafiyet, CVSS v4.0 skoru olarak 9.2 (Kritik) derecelendirmesine sahip.

PHP2Shell Nedir? (Teknik Detaylar)

PHP2Shell, PHP'nin bellek yönetimi (memory management) ve istek işleme mekanizmalarındaki hatalardan kaynaklanan bir Use-After-Free (UAF) zafiyetidir.

Özellikle sunucu bellek sınırına (OOM — out of memory) yaklaştığında veya özel olarak yapılandırılmış multipart yükleme istekleri gönderildiğinde, PHP interpreter bellekteki nesneleri hatalı serbest bırakır. Saldırganlar bu durumdan yararlanarak sunucu üzerinde işletim sistemi komutları çalıştırabilir.

Hangi PHP Sürümleri Etkileniyor?

PHP 8.1 ve öncesi sürümler destek dışı (EOL) olduğu için resmî bir yama yayınlanmayacak; bu dallarda kalan sistemlerin güncel bir dala taşınması gerekir.

WordPress Güncellemeleri Açığı Kapatır mı?

Hayır. Açık WordPress kodunda değil, sunucuda çalışan PHP runtime motorundadır. Dolayısıyla WordPress çekirdeğini, tema veya eklentileri güncellemek tek başına koruma sağlamaz.

Alınması Gereken Acil Önlemler

1. PHP runtime güncellemesi: PHP sürümünü 8.2.35, 8.3.36, 8.4.27 veya 8.5.12 ve üzerine yükseltin.
2. Geçici mitigasyon: php.ini dosyasında session.upload_progress.enabled = 0 yapıp PHP-FPM servisini yeniden başlatın.

Çalışan sürümünüzü doğrulamak için:

php -v
php -i | grep -i "session.upload_progress.enabled"

PHP-FPM servisini yeniden başlatmayı unutmayın; aksi hâlde php.ini değişikliği devreye girmez:

sudo systemctl restart php8.3-fpm