PHP2Shell: Issabel’da ve web sitelerinde PHP nasıl güncellenir?

Ekim 2026’nın üçüncü haftasında PHP çekirdeğinde, birlikte PHP2Shell olarak bilinen iki kritik güvenlik açığı duyuruldu. Bu açıklar, PHP’nin web sayfası sunduğu her sunucuda saldırganın kullanıcı adı ya da parola olmadan istediği kodu çalıştırmasına izin veriyor. WordPress siteleri, e-ticaret siteleri, yönetim panelleri ve Issabel santralinin web arayüzü risk altında.

Bu makale hangi sürümlerin etkilendiğini, kendi PHP sürümünüzü nasıl bulacağınızı ve Issabel ile web siteleri için tam olarak ne yapmanız gerektiğini anlatıyor.

PHP2Shell nedir?

• CVE-2026-109618: bellek tükendiğinde veri bozulması yoluyla uzaktan kod çalıştırma.
• CVE-2026-109619: bir isteğin iç durumunun sonraki isteğe taşınması yoluyla uzaktan kod çalıştırma.

İkisi de CVSS v4.0’da 10 üzerinden 9,2 puan aldı. PHP duyurusuna göre web isteklerine hizmet veren tüm kurulumlar kapsamda: PHP-FPM, mod_php’li Apache, php-cgi, LiteSpeed ve FrankenPHP. Risk en çok mod_php’li Apache’dedir; saldırı uygulamanın kendi kodu çalışmadan önce başarılı olabilir.

Ayrıntılar yamalardan bir gün önce, 20 Ekim’de sızdı; watchTowr ve Sophos gibi güvenlik şirketleri gerçek istismar girişimleri bildirdi. Bu teorik bir risk değil.

Hangi sürümler etkileniyor?

Düzeltilmiş sürümler 21 Ekim 2026’da yayımlandı:

• PHP 8.5: 8.5.12 ve sonrası
• PHP 8.4: 8.4.27 ve sonrası
• PHP 8.3: 8.3.36 ve sonrası
• PHP 8.2: 8.2.35 ve sonrası
• PHP 7.4, 8.0 ve 8.1: resmî destek bitti, yeni resmî sürüm yok. Yalnızca PHP projesinin asgari kaynak yamaları ya da Linux dağıtımlarının ve uzun süreli destek sağlayıcılarının yamalı paketleri var.
• PHP 7.3 ve öncesi, 5.x dahil: etkileniyor, resmî düzeltme yok. Doğru yol desteklenen bir sürüme geçmektir.

Önemli: WordPress’i, eklentileri ya da uygulamayı güncellemek bunu düzeltmez. PHP’nin kendisi güncellenmelidir. Yapılandırma değişiklikleri, PHP’nin kendi ifadesiyle, “riski azaltır ama kurulumu güvenli yapmaz”.

1. adım: sitenizi gerçekten çalıştıran PHP sürümünü bulun

Sunucuda:

php -v

Komut satırı sürümü siteyi çalıştıran sürümden farklı olabilir; bunlara da bakın:

php-fpm -v
httpd -M 2>/dev/null | grep -i php
apache2ctl -M 2>/dev/null | grep -i php

Son ikisi php_module ya da php7_module gösteriyorsa PHP, Apache içinde mod_php olarak çalışıyor demektir; en riskli kurulum budur.

Not: Linux dağıtımları (Ubuntu, Debian, Rocky) düzeltmeyi genellikle kendi sürüm numaralarına uygular; paket yamalı olduğu hâlde sürüm hâlâ örneğin 8.3.6 görünebilir. Emin olmak için paket değişiklik günlüğünde CVE numaralarını arayın (örnekler aşağıda).

Issabel: ne yapmalı?

Issabel’ın web paneli Apache ve PHP üzerinde çalışır. Bu panel internetten erişilebiliyorsa saldırgan bu açık üzerinden santrali ele geçirebilir; ele geçirilmiş bir santral, faturası size kesilen sahte uluslararası aramalar demektir.

Issabel 4 (CentOS 7 üzerinde)

Issabel 4 PHP 5.4 ile çalışır ve CentOS 7 Haziran 2024’ten beri desteklenmiyor. Bu sürüm için resmî düzeltme yok. Önem sırasıyla:

1. Bugün web panelini (80 ve 443 portları) internete kapatın; yalnızca iç ağa ve VPN’e izin verin.
2. Aşağıdaki risk azaltma ayarlarını uygulayın.
3. Rocky Linux 8 üzerinde Issabel 5’e geçişi planlayın.

Issabel 5 (Rocky Linux 8 üzerinde)

PHP sürümünü ve kurulu paketleri kontrol edin:

php -v
rpm -qa 'php*'

Güncellemeleri kontrol edip kurun:

dnf check-update 'php*'
dnf update 'php*'

Kurulu paketin PHP2Shell düzeltmesini içerip içermediğini kontrol edin:

rpm -q --changelog php | grep -i -E "109618|109619"

Çıktı boşsa PHP dalınız için yamalı paket mevcut depolarınıza henüz gelmemiştir. Bu durumda Issabel 4’te olduğu gibi paneli internete kapatın ve risk azaltma ayarlarını uygulayın. Yedek almadan ve test etmeden “Issabel’ın PHP’sini yükselten” bilinmeyen betikler kullanmayın; PHP sürümünü değiştirmek panelin bazı bölümlerini bozabilir.

Her değişiklikten sonra Apache’yi yeniden başlatın:

systemctl restart httpd

Issabel panelini internete kapatmak

En basit ve en etkili adım budur. Issabel bir MikroTik yönlendiricinin arkasındaysa ve dışarıdan yalnızca SIP trunk gelmesi gerekiyorsa, web erişimine yalnızca yönetici adresleri listesinden izin verin:

/ip firewall address-list add list=admins address=192.168.1.0/24
/ip firewall filter add chain=forward dst-address=192.168.1.10 protocol=tcp dst-port=80,443 src-address-list=!admins action=drop comment="Issabel web: admins only"

Adresleri kendi ağınız ve Issabel adresinizle değiştirin ve kuralı izin kurallarının üstüne koyun. Ofis dışından erişim için VPN kullanın.

Henüz güncelleyemiyorsanız risk azaltma

PHP duyurusu bu ayarları öneriyor ve bunların riski azalttığını ama güncellemenin yerini tutmadığını vurguluyor. php.ini dosyasında (Issabel’da genellikle /etc/php.ini) ya da PHP-FPM havuz ayarlarında:

session.upload_progress.enabled = 0
post_max_size = 8M

• session.upload_progress.enabled = 0, CVE-2026-109619’un bilinen yolunu kapatır. Kodda ini_set() ile değil, php.ini ya da sunucu yapılandırmasında ayarlanmalıdır.
• post_max_size değerini düşürün: panelden büyük dosya yüklemiyorsanız 8 MB, ses dosyası ya da yedek yüklüyorsanız 32 MB civarı.
• CVE-2026-109618 için duyuru ayrıca bir memory_limit ayarı öneriyor; uygulamaların davranışını etkilediği için değiştirmeden önce duyurunun tamamını okuyun.

Ayarları değiştirdikten sonra tüm PHP süreçleri (Apache ya da PHP-FPM) yeniden başlatılmalıdır. Eski süreçler çalıştığı sürece yeni ayar uygulanmaz.

PHP siteleri: paylaşımlı hosting, VPS ve Docker

Paylaşımlı hosting (cPanel, DirectAdmin)

• Select PHP Version ya da MultiPHP Manager bölümünden siteyi desteklenen bir dala (8.2–8.5) taşıyın.
• Hosting firmanıza yamalı paketlerin kurulu olup olmadığını sorun. Paylaşımlı hostingde PHP’nin kendisini güncellemek sağlayıcının işidir.
• Sürüm değiştirmeden önce sitenin yedeğini alın. Eski eklenti ve temalar PHP 8 ile çalışmayabilir.

Ubuntu ve Debian sunucular

sudo apt update
sudo apt list --upgradable | grep -i php
sudo apt upgrade

Ardından PHP servisini ve web sunucusunu yeniden başlatın, örneğin:

sudo systemctl restart php8.3-fpm
sudo systemctl restart apache2

Rocky, AlmaLinux ve RHEL sunucular

sudo dnf update 'php*'
sudo systemctl restart php-fpm httpd

Docker

Resmî PHP imajları düzeltilmiş sürümlerle yeniden oluşturuldu. İmajı yeniden çekin, konteyneri yeniden kurun ve sürümün yukarıdaki düzeltilmiş sürümlerden en az biri olduğundan emin olun; Dockerfile’da sürümü sabitlediyseniz değiştirin.

Güncellemeden sonra: kimsenin girmediğini kontrol edin

İstismar yamadan önce de bildirildiği için güncellemek yetmez; geride bir şey kalmadığını kontrol edin:

• Site klasörlerinde, özellikle yükleme klasörlerinde yeni ya da bilinmeyen PHP dosyaları:

find /var/www -name "*.php" -newermt "2026-10-15" -ls

• Yeni sistem kullanıcıları, bilinmeyen cron işleri ve olağandışı giden bağlantılar.
• Issabel’da: yeni trunk’lar ve giden rotalar, bilinmeyen dahililer ve çağrı kayıtlarında olağandışı uluslararası aramalar. Panel yönetici parolasını ve SIP parolalarını da değiştirin.

Saldırı belirtisi bulursanız birkaç dosyayı silmek yetmez. Sunucuyu temiz bir yedekten ya da sıfır kurulumdan yeniden oluşturun ve tüm parolaları değiştirin.

Bir konu daha: CVE-2026-115560

23 Ekim’de PHP, olasılığı düşük başka bir saldırı yolunu duyurdu. Yalnızca çalışırken oturum serileştiricisini değiştiren uygulamaları etkiliyor. PHP’nin önerisi, bir sonraki olağan sürüme kadar aynı session.upload_progress.enabled = 0 ayarı. Bunu zaten ayarladıysanız başka bir şey gerekmez.

Özet

1. Sitenizin ve Issabel’ın gerçek PHP sürümünü bulun.
2. Düzeltilmiş bir sürüme (8.2.35, 8.3.36, 8.4.27, 8.5.12 ya da sonrası) veya dağıtımınızın yamalı paketine güncelleyin.
3. Güncelleyemiyorsanız panelleri internete kapatın ve risk azaltma ayarlarını uygulayın.
4. Tüm PHP süreçlerini yeniden başlatın.
5. Saldırı izlerini kontrol edin.

Issabel’ınız ya da web sunucunuz eski bir PHP sürümünde çalışıyorsa ve nereden başlayacağınızı bilmiyorsanız VoIP ve kurumsal iletişim ya da ağ güvenliği ve güvenlik duvarı hizmetinden inceleme isteyin. MikroTik’te erişimi kısıtlamak için MikroTik ile ağ güvenliği makalesine bakın.

Kaynaklar: PHP güvenlik duyuruları, watchTowr’ın PHP2Shell SSS’si, Datadog Security Labs analizi, FreePBX topluluğunda PHP yaması tartışması.

Fotoğraf: lmonk72, kamu malı (CC0), Wikimedia Commons üzerinden; kırpılmıştır.