PHP2Shell nedir?
PHP2Shell, PHP’nin bellek hataları CVE-2026-109618 ve CVE-2026-109619’u kapsar; ikisi de CVSS v4.0 9,2’dir. Kimlik doğrulamasız kod çalıştırma ve bellek ifşası gösterildi. Düzeltmeler 21 Ekim 2026’da yayımlandı. Sorun tek bir CMS ile sınırlı değildir.
Hangi kurulumlar incelenmeli?
Tüm Web kurulumlarını güncelleyin: FPM, mod_php, php-cgi, FrankenPHP ve LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel ve özel uygulamalar riski devralır. Panelleri, cihazları, testleri ve konteynerleri de sayın. Uygulama güncellemesi PHP’yi değiştirmez.
FPM muaf mı?
Hayır. FPM istek başlangıcı başarısızsa alt süreci sonlandırır ve bazı başlangıç dizilerini engeller. Uygulama ve istekler arası yollar kalır. Her ortam mod_php ile aynı değildir; FPM de yama gerektirir.
Dağıtım backport’ları
Ubuntu, Debian ve kurumsal Linux eski numarayı düzeltilmiş revizyonla koruyabilir. 8.3.6 başlığı tek başına kanıt değildir. OS, depo, mimari ve revizyonu HER İKİ CVE kaydıyla eşleştirin. Paket eşikleri uydurmuyoruz.
PHP 8.1 ve öncesi
Normal PHP sürümü yoktur. 7.4, 8.0 ve 8.1 asgari kaynak backport’ları istisnadır; derleme ve doğrulama işletmeciye aittir. OS veya LTS sağlayıcı paket sürdürebilir. Araştırma 5.4’e uzanır, koşullar değişir. Geçiş yapın ve ara yamayı doğrulayın.
Geçici önlemler eksik kalır
Tüm varyantları yalnız tam yama çözer. Ayarlar yükleme, performans ve erişilebilirliği etkileyebilir. İstek ayrıştırılmadan önce yönetici düzeyinde uygulayın ve tüm işçileri yeniden başlatın. İki duyuruyu okuyun. CDN ve WAF düzeltme kanıtı değildir.
Yama ihlali dışlamaz
Sürüm karşılaştırması geçmiş istismarı tespit etmez. Günlük ve imaj kanıtını saklayın; çökmeleri, dosyaları, süreçleri ve dış bağlantıları araştırın. Hata yokluğu güvenlik kanıtı değildir. Şüphede izole edip olay sınırlandıktan sonra güvenilir ortamdan sırları değiştirin.
Değerlendirme yöntemi
Manuel kontrol dört yayımlanmış dalın tam kararlı sürümlerini karşılaştırır. Sağlayıcı paketleri iki CVE için kanıt gerektirir; bilinmeyen yapılar bilinmeyen kalır. Açık site kontrolü bildirilen sürüm ve ipuçlarını toplar, istismarı kanıtlamaz. Gizli başlık, CDN veya yamalı tek kopya tüm çalışma ortamlarının güvenliğini göstermez. Tarihler editoryal incelemeyi belirtir.
Ücretsiz tarayıcı sızmayı kanıtlar mı?
Kesin olarak hayır. Başlık ve kalıplar tam ortam, kayıp geçmiş ve bellek sızıntısını görmeden ipucu verir. Envanter, koruma ve ilişkilendirme yapın. Beklenmeyen hesap, süreç veya sızıntıda yalıtın ve sağlayıcı/olay ekibine başvurun.
Girişim mi, başarılı sızma mı? →