php2shell: Ekim 2026 PHP açıkları video siteleri için ne anlama geliyor

21 Ekim 2026'da PHP projesi PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayınladı. Bu sürümler, php2shell olarak bilinen iki kritik güvenlik açığını, CVE-2026-109618 ve CVE-2026-109619'u düzeltiyor. Uygun koşullarda bu açıklar, kimliği doğrulanmamış bir saldırganın PHP çalıştıran bir sunucuda kod çalıştırmasına olanak tanıyor. PHP Foundation bunu açıkça söylüyor: PHP kullanıyorsanız hemen güncelleyin.

Vodlix, açıklar kamuoyuna duyurulmadan önce sistemlerine yamayı uyguladı. Vodlix müşterilerinin hiçbir şey yapması gerekmedi.

Bir yama, sunucunuza kurulana kadar kimseyi korumaz. Bir video işletmesi için php2shell'in özü budur.

php2shell nedir?

php2shell, PHP'deki birbiriyle ilişkili iki uzaktan kod çalıştırma açığının, CVE-2026-109618 ve CVE-2026-109619'un adıdır. Her ikisi de bellek yönetimi ve hata işlemede, yani neredeyse her isteğin geçtiği PHP bölümlerinde yer alıyor. PHP projesinin duyuruları bunları kritik olarak sınıflandırıyor ve düzeltilmiş sürümler 21 Ekim 2026'da yayınlandı.

PHP Foundation ve PHP projesinin duyuruları açıklara CVE numaralarıyla atıfta bulunuyor; bu yüzden tedarikçilerinizin ve barındırma sağlayıcılarınızın duyurularında arama yaparken bu numaraları kullanın.

CVE-2026-109618: PHP'nin belleği tükendiğinde bellek bozulması

Bir istek PHP'nin memory_limit sınırına tam olarak yanlış anda ulaşırsa, PHP kısmen başlatılmış iç verileri geride bırakıp daha sonra bunları geçerli kabul edebiliyordu. mod_php ile Apache üzerinde, kimliği doğrulanmamış bir istek bunu herhangi bir uygulama kodu çalışmadan önce tetikleyebiliyor ve PHP Foundation, varsayılan ayarlarla tam uzaktan kod çalıştırmanın gösterildiğini belirtiyor. Uzaktan kod çalıştırma, uygulama kodu yolları üzerinden PHP-FPM'de de doğrulandı.

CVE-2026-109619: önceki bir istekten kalan eski durum

Yanlış noktada oluşan ölümcül bir hata, iç durumun önceki bir isteğe ait belleği göstermeye devam etmesine yol açabiliyordu. Aynı worker üzerindeki sonraki bir istek de bu serbest bırakılmış belleği kullanabiliyordu. PHP Foundation'a göre, açığı bildiren kişi mod_php ile Apache üzerinde gerçek bir uygulamaya karşı uzaktan kod çalıştırmayı gösterdi.

php2shell açığını hangi PHP sürümleri düzeltiyor?

Düzeltilmiş sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 olup hepsi 21 Ekim 2026'da yayınlandı. PHP projesinin CVE-2026-109618 duyurusuna göre bu dört daldaki önceki tüm sürümler etkileniyor. PHP 8.1 veya daha eski bir sürüm kullanıyorsanız, dalınız için yama yok.

TechCrunch, bu açıkların 2004'te yayınlanan PHP 5'ten bu yana her PHP sürümünde bulunduğunu ve PHP 8.1 ile daha eski sürümlerin artık desteklenmediğini bildiriyor. Bu sürümleri kullanan sitelerin önünde küçük bir güncellemeden fazlası var.

Açıkları kim, ne zaman buldu?

Güvenlik firması Calif'ten araştırmacı Ryan A, 30 Temmuz 2026'da başlayan bir denetim sırasında, 11 Ağustos 2026'da ilk uzaktan kod çalıştırma açığını PHP'ye bildirdi. Ardından Wiz ve OpenAI başka saldırı yolları bildirdi. Kök neden, PHP ekibinin ilk kez 2024'te fark ettiği bir bellek sorununa dayanıyor.

PHP Foundation'ın kendi anlatımı olayların sırasını şöyle ortaya koyuyor:

1. 2024: PHP'nin yıllar sonraki ilk dış güvenlik denetimi sırasında bir çekirdek geliştirici, bellek tükenmesi sorununun ilk işaretlerini buldu. O sırada somut bir saldırı yolu bulunamadı ve düzeltme askıda kaldı.

2. 30 Temmuz 2026: Calif, Patch the Planet programı kapsamında PHP denetimine başladı.

3. 11 Ağustos 2026: Calif'ten Ryan A, aynı kök nedene sahip koşulsuz bir uzaktan kod çalıştırma açığı bildirdi. OpenAI de bağımsız olarak aynı kök nedeni bildirdi.

4. 24 Ağustos 2026: Wiz başka saldırı vektörleri bildirdi.

5. 18 Eylül 2026: OpenAI başka saldırı vektörleri bildirdi.

6. 21 Ekim 2026: PHP düzeltilmiş sürümleri yayınladı.

Foundation bu boşluk konusunda açık sözlü: 2024 sonrası gecikmeyi güvenlik ekibinin karar sürecinin ve kaynak eksikliğinin “yapısal bir başarısızlığı” olarak nitelendiriyor ve ekibin çalışma biçimini değiştirdiğini belirtiyor.

php2shell ne kadar ciddi ve internet nasıl tepki verdi?

Ciddi, çünkü PHP her yerde ve en kötü senaryo bir saldırganın sunucunuzda kod çalıştırması. TechCrunch, PHP'nin web sitelerinin yaklaşık %70'ine güç verdiğini ve ABD Ulusal Güvenlik Ajansı'nın (NSA), hemen yamalanamayan sitelerin çevrimdışına alınmasını tavsiye ettiğini bildiriyor.

TechCrunch ayrıca açıkların saldırganların sunucunun dosya sistemine veya web uygulamasının kullandığı bir veritabanına erişmesine olanak verebileceğini bildiriyor. 21 Ekim tarihli haberi sırasında OpenAI, açıkların saldırganlardan önce araştırmacılar tarafından bulunduğunu ve aktif istismar bildirimi olmadığını söyledi. Ayrıntılar artık kamuya açık olduğu için bu durum değişiyor.

Bulut sağlayıcıları aynı gün harekete geçti. AWS, 2026-143-AWS güvenlik bültenini 21 Ekim 2026'da, her iki CVE'den etkilenen PHP web çalışma zamanları için “Important (requires attention)” etiketiyle yayınladı.

php2shell bir yayın platformu veya video sitesi için ne anlama geliyor?

Video işletmenizin PHP çalıştıran her parçasını kontrol etmek anlamına geliyor, sadece oynatıcıyı değil. Bir yayın sitesi bir vitrin, bir oturum açma, bir faturalandırma akışı ve çoğu zaman bir pazarlama sitesi ya da blogdur. Bunlardan herhangi biri sizin veya barındırma sağlayıcınızın yönettiği bir sunucuda PHP çalıştırıyorsa, düzeltilmiş bir sürüme ihtiyacı var.

Burada güvenlik yalnızca bir BT görevi değil, bir iş meselesidir. Yama beklemek için çevrimdışına alınan bir video sitesi, kapalı kaldığı süre boyunca abonelik ve kiralama satmayı bırakır.

WordPress yaygın bir örnek. TechCrunch, WordPress'in açığın WordPress'e özgü olmadığını ve WordPress çalıştıran sitelerin sunucularını yamalayıp barındırma şirketleriyle birlikte çalışması gerektiğini söylediğini bildiriyor.

Yama uygulamak korumanın yalnızca bir katmanıdır. İçeriğiniz ve izleyicileriniz için OTT güvenliğinin temelleri rehberimiz diğer katmanları, yayın platformları için oturum açma güvenliği sayfamız ise izleyici hesaplarını ele alıyor.

Vodlix php2shell'i nasıl ele aldı?

Vodlix, açıklar 21 Ekim 2026'da kamuoyuna duyurulmadan önce sistemlerini CVE-2026-109618 ve CVE-2026-109619'a karşı yamaladı. Vodlix'te PHP'yi yalnızca ara katman yazılımı kullanıyor ve yamalanan da bu oldu. Vodlix müşterilerinin herhangi bir işlem yapması gerekmedi.

Vodlix gibi yönetilen bir platformda bu tür güvenlik güncellemeleri sizin adınıza uygulanır. Vodlix ile ilgili bir güvenlik endişesi bildirmek isterseniz [email protected] adresine yazın.

Kendi PHP sitelerinizi işletiyorsanız ne yapmalısınız?

İşlettiğiniz her PHP kurulumunu düzeltilmiş bir sürüme güncelleyin veya barındırma sağlayıcınızdan bunu yapmasını isteyin ve sağlayıcılarınızın duyurularını okuyun. Hemen güncelleyemiyorsanız, TechCrunch'ın aktardığı NSA tavsiyesine uyun ve güncelleyene kadar siteyi çevrimdışına alın.

1. PHP çalıştıran her şeyi listeleyin. Ana sitenizi, tüm WordPress sitelerini veya blogları, açılış sayfalarını ve yönetim araçlarını dahil edin.

2. Her sürümü kontrol edin. Yukarıdaki tabloyla karşılaştırın.

3. Güncelleyin veya barındırma sağlayıcınızdan isteyin. 8.5.12, 8.4.27, 8.3.36 veya 8.2.35'e geçin. Yönetilen bir barındırma hizmetinde güncelleme tarihini teyit etmelerini isteyin.

4. Eski dallar için yükseltme planlayın. PHP 8.1 ve daha eski sürümler artık desteklenmiyor, bu yüzden onlar için yama gelmeyecek.

5. Tedarikçilerinizin duyurularını okuyun. Barındırma ve bulut sağlayıcınızla başlayın. AWS bir duyuru yayınladı bile.

6. Yeni sürümün çalıştığını doğrulayın. Güncellemeden sonra her sunucuda yeniden kontrol edin.

Sonraki adımlar

Vodlix müşterisiyseniz php2shell için hiçbir şey yapmanız gerekmiyor. Sorularınız için Vodlix yardım merkezini ziyaret edin veya Vodlix ekibiyle iletişime geçin.

Bu tür güncellemelerin sizin adınıza yapıldığı yönetilen bir platformu değerlendiriyorsanız, Vodlix platform özelliklerine göz atın veya Vodlix demosu talep edin.