Dünya genelinde milyonlarca internet sitesinin altyapısında kullanılan PHP programlama dilinde keşfedilen iki kritik güvenlik açığı, uluslararası bir siber güvenlik krizine dönüştü. PHP2Shell adıyla anılan bu açıkların kamuoyuyla paylaşılmasının ardından saldırı girişimleri hızla tırmanırken Avrupa'dan Asya'ya çok sayıda kamu kurumu ve özel şirket güvenlik önlemlerini artırdı. 21 Ekim 2026'da yayımlanan acil yazılım güncellemeleri, saldırganların savunmasız sunucularda parola gerekmeksizin zararlı kod çalıştırabilmesine yol açan bu iki açığı kapatmayı hedefliyor.
PHP2Shell nedir, tehlike tam olarak nerede?
CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kayıt altına alınan açıkların önem derecesi, CVSS 4.0 sisteminde 10 üzerinden 9,2 olarak belirlendi. Ancak bu noktada kritik bir ayrımın altını çizmek gerekiyor: Söz konusu açıklar doğrudan Android telefonları, iPhone'ları ya da Windows bilgisayarları hedef alan bir işletim sistemi zafiyeti değil. Asıl tehlike, ziyaret edilen internet sitelerinin ve çevrim içi hizmetlerin sunucularında ortaya çıkıyor.
PHP2Shell aynı zamanda bir virüsün adı da değil; PHP yazılımındaki iki kritik güvenlik açığını tanımlamak için kullanılan bir terim. Bu açıklar belirli koşullarda saldırganların bir internet sunucusuna uzaktan müdahale etmesine imkân tanıyabiliyor. Özellikle WordPress, Drupal, Joomla ve çeşitli e-ticaret sistemleri gibi PHP tabanlı platformların çalıştığı sunucular risk altında. Bir internet sitesini ziyaret etmek tek başına telefonun veya bilgisayarın ele geçirildiği anlamına gelmiyor; ancak ele geçirilen sunucular üzerinden kişisel verilerin sızdırılması, sahte giriş sayfalarının yayımlanması ya da dolandırıcılık girişimlerinin gerçekleştirilmesi gibi dolaylı tehlikeler söz konusu.
Krizin seyri: 21-23 Ekim arasında neler yaşandı?
21 Ekim'de PHP geliştiricileri, iki açığı gidermek amacıyla 8.2, 8.3, 8.4 ve 8.5 sürüm aileleri için acil güncellemeler yayımladı. Aynı gün Türkiye de "Kritik Siber Güvenlik Uyarısı" duyurusunu kamuoyuyla paylaştı. 22 Ekim'de Belçika, Çekya, Finlandiya, Fransa, Almanya ve Hollanda'da bazı kamu hizmetleri güvenlik önlemleri kapsamında geçici olarak çevrim dışına alındı.
23 Ekim'e gelindiğinde ise saldırı girişimlerindeki artış çarpıcı bir boyut kazandı. Cloudflare CEO'su Matthew Prince, açıkların duyurulmasının ardından şirket ağında gözlemlenen istismar girişimlerinin binlerden milyonlara yükseldiğini açıkladı. Avrupa Birliği Siber Güvenlik Ajansı (ENISA), Europol ve AB kurumları ortak bir açıklamayla şirketleri acil güncelleme yapmaya çağırırken İngiltere Ulusal Siber Güvenlik Merkezi (NCSC) de güvenlik güncellemelerinin geciktirilmemesini, gerekli önlemler alınamıyorsa savunmasız hizmetlerin geçici olarak çevrim dışına çıkarılmasını tavsiye etti.
Ev kullanıcıları için 7 adımlık güvenlik kontrolü
Uzmanlar, bireysel kullanıcıların önceliğinin telefon ve bilgisayarlarını güncel tutmak, hesapları güçlü kimlik doğrulamayla korumak ve sahte güvenlik uyarılarına karşı dikkatli olmak olduğunu vurguluyor. Aşağıdaki adımlar, PHP2Shell'in doğrudan cihazlara bulaştığı varsayımına değil, olası sunucu ihlallerinin kişisel hesaplara yansımasını önleme amacına dayanıyor.
Telefon ve bilgisayarın sistem güncellemelerini kontrol et; Android, iOS, Windows veya macOS için bekleyen güvenlik güncellemelerini yükle.
Tarayıcıları güncelle: Chrome, Edge, Firefox veya Safari'nin güncel olduğundan emin ol.
Önemli hesaplarda iki aşamalı doğrulamayı etkinleştir; e-posta, bankacılık, sosyal medya ve bulut hesaplarına öncelik ver.
Aynı şifreyi kullandığın hesapları ayır; her önemli hesap için benzersiz ve güçlü parola ya da geçiş anahtarı kullan.
Şüpheli bağlantıları ve mesajları kontrol et; acil güvenlik güncellemesi bahanesiyle gelen bağlantılara tıklama.
Önemli dosyaları yedekle; belgeleri ve fotoğrafları güvenilir bir bulut hizmetine veya harici diske aktar.
Hesap oturumlarını ve güvenlik uyarılarını incele; tanınmayan girişleri, cihazları ve işlemleri kontrol et.
Android, iPhone ve bilgisayarlar için platforma özel adımlar
Android kullanıcılarının PHP yüklemesine ya da özel bir PHP2Shell temizleme uygulaması indirmesine gerek yok. Ayarlar → Sistem → Yazılım güncellemesi yolundan güncelleme kontrolü yapılması, Google Play Protect'in açık tutulması, uygulama izinlerinin gözden geçirilmesi ve Google Hesabı üzerinden iki aşamalı doğrulamanın etkinleştirilmesi önerilen başlıca adımlar. Tanımadığınız kişilerden gelen APK dosyaları, sözde güvenlik yamaları ve SMS bağlantıları kesinlikle açılmamalı.
iPhone kullanıcıları için de PHP2Shell'e özgü bir yazılım yükleme zorunluluğu bulunmuyor. Ayarlar → Genel → Yazılım Güncelleme üzerinden en güncel iOS sürümünün yüklenmesi, Apple Hesabı güvenliğinin ve tanınmayan cihazların incelenmesi ile parola yöneticisindeki ihlal uyarılarının takip edilmesi öne çıkan adımlar. Bu tavsiyeler, FBI'ın mobil cihaz güvenliği önerileriyle de örtüşüyor.
Windows kullanıcıları Başlat → Ayarlar → Windows Update yolundan güvenlik yamalarını yükleyip Windows Güvenliği üzerinden gerçek zamanlı korumayı doğrulayabilir. Mac kullanıcıları ise Sistem Ayarları → Genel → Yazılım Güncelleme bölümünden güncellemeleri takip etmeli ve tanımadığı kaynaklardan gelen uygulamaları yüklememeli. Her iki platformda da tarayıcıların güncel tutulması kritik önem taşıyor. Burada altı çizilmesi gereken bir nokta var: Windows veya macOS güncellemesi, başka bir şirkete ait savunmasız PHP sunucusunu onarmaz; bu güncellemeler yalnızca bilgisayarın kendi güvenliğini pekiştirir.
Site sahipleri ve sunucu yöneticileri için acil güncelleme rehberi
Ev kullanıcılarından farklı olarak internet sitesi yöneticileri, yazılım geliştiriciler ve sunucu sahipleri için PHP2Shell doğrudan teknik müdahale gerektiriyor. 21 Ekim 2026'da yayımlanan güvenlik güncellemeleri şu sürümleri kapsıyor: PHP 8.5 için 8.5.12, PHP 8.4 için 8.4.27, PHP 8.3 için 8.3.36 ve PHP 8.2 için 8.2.35. PHP 8.1 ve önceki sürümler için ise desteklenen güvenli bir sürüme geçiş ya da sağlayıcıdan doğrulanmış güvenlik yaması gerekiyor.
Sunucu yöneticilerinin önce internete açık sunucuları ve PHP kullanan üçüncü taraf ürünleri tespit etmesi, ardından güvenlik yamasını yüklemesi gerekiyor. PHP-FPM, Apache ve uzun süre çalışan PHP süreçlerinin güncellenmiş kodu kullandığından emin olunmalı; erişim ve hata kayıtları olağan dışı istekler, beklenmedik dosyalar ve şüpheli dış bağlantılar açısından incelenmeli. Sunucunun ele geçirildiğine ilişkin bulgu varsa ilgili oturumlar, erişim anahtarları ve kimlik bilgileri yenilenmeli. Güncelleme yapılamıyorsa etkilenen hizmetin dış erişime kapatılması değerlendirilmeli. WordPress çekirdeği ve eklentileri güncel olsa bile sunucudaki PHP sürümü savunmasız kalabileceğinden, yönetilen barındırma hizmeti kullanan site sahiplerinin sağlayıcılarından yazılı teyit alması gerekiyor. PHP geliştiricileri, mevcut açıklar için güncellemenin tek kapsamlı çözüm olduğunu belirtiyor.
Sıkça Sorulan Sorular
PHP2Shell doğrudan telefonuma veya bilgisayarıma bulaşır mı?
Hayır. PHP2Shell, telefona ya da bilgisayara bulaşan bağımsız bir virüs değil; sunucu tarafındaki güvenlik açıklarının adı. Bu açıklar doğrudan Android, iOS veya Windows işletim sistemlerini hedef almıyor. Tehlike, ziyaret edilen internet sitelerinin ve çevrim içi hizmetlerin sunucularında ortaya çıkıyor.
Bankacılık uygulamalarını kullanmayı bırakmalı mıyım?
Hayır. Doğrulanmış bir güvenlik uyarısı veya hizmet kesintisi yoksa tüm bankacılık uygulamalarını kullanmayı bırakmayı gerektiren genel bir tavsiye bulunmuyor. Resmi uygulamaları ve banka duyurularını takip etmek yeterli.
Tüm şifrelerimi hemen değiştirmem gerekiyor mu?
Genel ve zorunlu bir toplu parola değişikliği çağrısı bulunmuyor. Öncelik, güvenlik uyarısı alınan, şüpheli giriş görülen ya da aynı şifrenin birden fazla hesapta kullanıldığı hizmetlere verilmeli. Şifre tekrarını ortadan kaldırmak, iki aşamalı doğrulamayı açmak ve doğrulanmış bir veri ihlali durumunda etkilenen hesapların parolalarını değiştirmek önemli.
Antivirüs programı yüklemek PHP2Shell saldırısını engeller mi?
Antivirüs, cihazdaki bazı zararlı yazılımları tespit edebilir; ancak başka bir kuruluşun internet sunucusundaki PHP açığını kapatamaz. Bu nedenle antivirüs kurulumu tek başına yeterli bir önlem değil.
Siber saldırı şüphesi durumunda ilk yapılması gereken nedir?
Şüpheli bağlantıyla etkileşimi hemen durdurmak ve yeni dosya indirmemek ilk adım. Ardından güvenilir bir cihazdan e-posta hesabının parolası değiştirilmeli, açık oturumlar incelenmeli, iki aşamalı doğrulama etkinleştirilmeli ve banka hesabında yetkisiz işlem varsa bankanın resmi kanallarından iletişime geçilmeli. Şüpheli mesajların ve işlemlerin ekran görüntüleri delil olarak saklanmalı.
