Son güncelleme: 24 Ekim 2026

Kısa cevap: Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, PHP'deki PHP2Shell açıkları için 21 Ekim 2026'da ulusal ölçekte tarama başlattı ve kurumlara acil güvenlik duyurusu gönderdi. Censys verilerine göre Türkiye'de 364 bini aşkın PHP hizmeti etkilenen sürümlerde görünüyor. Güncel PHP dallarını kullanan siteler hızla yamalandı. Asıl sorun, PHP kullanan sitelerin yarısından fazlasının artık güncelleme almayan PHP 8.1 ve öncesinde çalışması.

PHP2Shell açıklarının teknik ayrıntılarını, kontrol komutlarını ve geçici önlemleri önceki yazıda anlattım. Bu yazı Türkiye tarafına odaklanıyor. Resmi kurumlar ne dedi, bağımsız taramalar ne gösteriyor ve bu tablo site sahipleri için ne anlama geliyor?

Siber Güvenlik Başkanlığı ne yaptı?

PHP güvenlik ekibi yamaları 21 Ekim günü Türkiye saatiyle 16.30'da yayımladı. Aynı gün Cumhurbaşkanlığı Siber Güvenlik Başkanlığı da bir açıklama yaptı. Açıklamaya göre:

  • Kamu kurumları başta olmak üzere Türkiye genelindeki sistemlerde güvenlik taramaları başlatıldı.
  • Siber Olaylara Müdahale Ekipleri (SOME) İletişim Platformu üzerinden bütün kurumlara ve kritik altyapılara acil güvenlik duyurusu gönderildi. Duyuruda alınması gereken teknik ve idari tedbirler de yer aldı.
  • Kurumlardan, TR-26-1372 numaralı resmi bildirimdeki tedbirleri gecikmeden uygulamaları istendi.

Başkanlığın kamuoyuyla paylaştığı tedbirler dört başlıkta toplanıyor: sistemleri güncel tutmak, yetkisiz erişim riskini azaltmak, ihtiyaç duyulmayan dış erişimleri sınırlamak ve gerekli servislerde ek koruma uygulamak. Bu başlıklar ilk bakışta genel görünebilir ama PHP ekibinin önerileriyle aynı yöne bakıyor. Kalıcı çözüm güncelleme. Hemen güncellenemeyen bir sistem için en etkili geçici önlem de internetten erişimi kısıtlamak.

Ulusal taramanın sonuçlarına dair bir rakam açıklanmadı. Aşağıdaki veriler özel güvenlik şirketlerinin internet taramalarına dayanıyor.

Rakamlar ne gösteriyor?

Censys: Türkiye'de 364 bin hizmet etkilenen sürümde

Censys'in açıklar için açtığı canlı takip paneline göre 23 Ekim itibarıyla dünyada 33,5 milyon PHP hizmeti hâlâ etkilenen sürümlerde çalışıyordu. Türkiye'de bu sayı 364.237. Sürüm bilgisini açıklayan Türkiye kaynaklı PHP hizmetlerinin yüzde 92,9'u etkilenen sürümlerde görünüyor. Türkiye bu sıralamada 233 ülke ve bölge arasında 19. sırada.

Bu rakamları okurken iki şeyi akılda tutmak gerekiyor. Birincisi, "hizmet" sunucu anlamına gelmiyor. Paylaşımlı barındırmada tek bir sunucu yüzlerce siteye hizmet verebilir ve her biri ayrı kayıt olarak sayılabilir. İkincisi, Linux dağıtımları yamayı sürüm numarasını değiştirmeden uyguladığı için yamalı bir sistem de etkilenen sürüm gibi görünebilir. Bu nedenle gerçek açık sistem sayısı daha düşük olabilir. Öte yandan sürüm bilgisini gizleyen sistemler bu hesaba hiç girmiyor.

Dünyada ilk 24 saat: yüzde 0,7

OX Security, Shodan üzerinden yaptığı takipte yamaların yayımlanmasından 24 saat sonra sürümü ölçülebilen yaklaşık 1,97 milyon etkilenen PHP örneğinden yalnızca 14.151'inin yamalı sürümü gösterdiğini tespit etti. Bu oran yüzde 0,7. Yani dünyanın geneli ilk gün neredeyse hiç kıpırdamadı.

Türkiye'deki e-ticaret siteleri: hızlı tepki, eski sürüm yükü

Onlayer, 20 pazarda yaklaşık 1,4 milyon üye işyeri sitesini izliyor. Bu şirketin verileri Türkiye için iki ayrı tablo çiziyor.

İyi haber şu: Türkiye'deki üye işyeri sitelerinin yüzde 36,2'si PHP kullanıyor. Geri kalan yaklaşık üçte ikisi farklı altyapılarda çalıştığı için bu açıktan etkilenmiyor. Avrupa'da PHP kullanım oranı yüzde 58. Ayrıca desteklenen PHP dallarındaki Türk sitelerinde yamalı sürüm oranı bir günden kısa sürede beş katına çıktı. Oran 21 Ekim akşamı yüzde 5,7 iken 22 Ekim akşamı yüzde 29,9'a ulaştı. Onlayer'a göre 22 Ekim sonunda 20 pazarda yamalandığı tespit edilen üye işyeri sitelerinin yüzde 70'inden fazlası Türkiye'deydi.

Kötü haber de şu: PHP kullanan Türk sitelerinin yüzde 52,1'i desteği bitmiş PHP 8.1 ve öncesinde çalışıyor. Bu sitelerin tek bir güncellemeyle korunması mümkün değil. Onlayer'ın hesabına göre Türkiye'deki bütün üye işyeri sitelerinin yüzde 17'si tek bir güncellemeyle korunabiliyor, yüzde 19'u ise sürüm yükseltmesi gerektiriyor.

Bu tablo kimin için ne anlama geliyor?

Paylaşımlı barındırmada siteniz varsa: PHP'yi siz değil barındırma firması günceller. Ancak sitenizin hangi PHP sürümünü kullanacağını çoğu zaman siz seçersiniz. Panelde sitenizi yıllar önce 7.4 ya da 8.0'a sabitlediyseniz, firma sunucuyu yamalasa bile siteniz desteklenmeyen bir dalda kalabilir.

E-ticaret sitesi işletiyorsanız: Ödeme sayfanız ödeme kuruluşunda olsa bile müşteri bilgileri, sipariş geçmişi ve yönetim paneli sizin sunucunuzda duruyor. KVKK'nın 21 Ekim'de duyurduğu veri ihlallerinden üçü, üçüncü taraf bir yazılım bileşenindeki açıktan giren saldırganlarla ilgiliydi. Bu olaylar PHP2Shell ile bağlantılı değil ama güncellenmemiş bir bileşenin bedelini iyi gösteriyor.

Ajans ya da serbest geliştiriciyseniz: Yıllar önce teslim ettiğiniz ve bakım sözleşmesi olmayan siteleri bir kez daha düşünün. Bu sitelerin sahipleri çoğu zaman PHP sürümlerinin ne olduğunu bilmez. Kısa bir bilgilendirme e-postası hem onları korur hem de size iş getirebilir.

Kamu kurumu ya da kritik altyapıdaysanız: SOME İletişim Platformu üzerinden gelen duyuruyu ve TR-26-1372 bildirimini takip edin. Taramada sisteminizin işaretlenmesini beklemeden kendi envanterinizi çıkarın.

PHP 8.1 ve öncesindeyseniz ne yapmalısınız?

PHP projesi 8.1 ve öncesine artık sürüm yayımlamıyor. Güvenlik ekibi açıkların ciddiyeti nedeniyle 7.4, 8.0 ve 8.1 için kaynak kodu düzeyinde asgari yamalar paylaştı. Ancak bu yamalar PHP'yi kendisi derleyenler için hazırlandı. Paylaşımlı barındırma kullanan bir site sahibinin bunları uygulama imkânı yok.

Gerçekçi yol sürüm yükseltmek. Burada iki konuya dikkat etmek gerekiyor:

  • PHP 8.2 de 31 Aralık 2026'da destek dışı kalıyor. Şimdi yükseltme yapacaksanız doğrudan 8.4 ya da 8.5'i hedefleyin. Aksi halde iki ay sonra aynı işi tekrar yapmanız gerekir.
  • Eski tema, eklenti ve kendi yazdığınız kodlar yeni sürümde hata verebilir. Önce sitenin bir kopyasını yeni sürümde açın, hata kayıtlarına bakın ve sorunları giderdikten sonra canlı siteyi taşıyın. Barındırma panellerinin çoğu PHP sürümünü site bazında değiştirmeye izin verdiği için deneme yapmak zor değil.

Yükseltme birkaç gün sürecekse arada siteyi korumak için yönetim panelini IP kısıtlamasına alın, kullanılmayan formları ve dosya yükleme alanlarını kapatın. Barındırma firmanızdan session.upload_progress.enabled ayarının sunucu düzeyinde kapatılmasını da isteyebilirsiniz. Bu ayar PHP ekibinin önerdiği geçici önlemlerden biri.

Barındırma firmanıza gönderebileceğiniz kısa mesaj

Firmanızın durumu bilmesini beklemek yerine doğrudan sorun. Aşağıdaki metni kopyalayıp destek talebi olarak gönderebilirsiniz:

Merhaba, PHP2Shell olarak bilinen CVE-2026-109618 ve CVE-2026-109619 açıkları hakkında bilgi almak istiyorum. Hesabımdaki siteler için şu soruların yanıtını rica ederim:

  1. Sunucudaki PHP sürümleri 8.2.35, 8.3.36, 8.4.27 veya 8.5.12 seviyesine güncellendi mi? Dağıtım paketi kullanılıyorsa bu iki CVE için yama uygulandı mı?
  2. Sitemin kullandığı PHP sürümü nedir ve bu sürüm hâlâ güvenlik güncellemesi alıyor mu?
  3. Desteklenmeyen bir sürümdeysem hangi sürüme geçmemi önerirsiniz?
  4. session.upload_progress.enabled ayarı sunucu düzeyinde kapatıldı mı?

Teşekkürler.

Yanıt gelmezse ya da belirsiz kalırsa bunu da bir bilgi olarak değerlendirin. Kritik bir açıkta bu soruları net yanıtlayamayan bir firma, sonraki olaylarda da sizi yalnız bırakabilir.

Kendi sunucunuzu yönetiyorsanız

Sürüm kontrol betikleri, Linux ve IIS komutları, geçici yapılandırma önlemleri ve iz arama adımları ana yazıda ayrıntılı olarak yer alıyor. Kısaca sıralamak gerekirse:

  1. PHP sürümünü ve dağıtım paketinin değişiklik kaydını kontrol edin.
  2. Yamalı sürüme geçin ve bütün PHP işçi süreçlerini yeniden başlatın.
  3. Hemen güncelleyemiyorsanız sistemi internetten ayırın ya da erişimi kısıtlayın.
  4. 20 Ekim'den sonraki kayıtlarda PHP çökmelerini ve beklenmedik dosya değişikliklerini arayın.

Türkiye'nin desteklenen dallarda hızlı tepki vermesi umut verici. Ancak eski sürümlerde çalışan sitelerin yükü önümüzdeki haftalarda asıl riski oluşturacak. Saldırganlar da hızlı yamalananları değil, geride kalanları arayacak.

Kaynaklar