PHP geliştiricisi yoksa erişimleri geri alın, yedekleri sınayın ve çalışma ortamını belirleyin. PHP2Shell için yamalı PHP, taşıma veya statik arşiv seçeneklerini değerlendirin.
01
Erişim ve sorumluluğu geri alın
Alan adı, hosting, sunucu/panel, kaynak, DB bilgileri ve ödeme sahibini bulun. Bakımı onaylayan ve geri yükleyen kişiyi belirleyin. Uygulama/sürümü yerel dosyadan tanıyın. Eksik hesap/kodu üretim PHP değişiminden önce kurtarın.
02
Kanıtları koruyup geri yüklemeyi deneyin
Şüphede temizlikten önce günlükleri saklayın. Kod, DB, uploads, ayar ve görevleri tarihli, şifreli, erişimi kısıtlı set halinde alın. Kodlama ve dış storage kaydedilsin. Özel ortamda geri yükleyip içerik/giriş deneyin; yedek başarı mesajı yetmez.
Yama ihlali dışlamaz ↗03
PHP kuşak farkını inceleyin
PHP 5.3/5.6 kaldırılmış API kullanabilir. PHP 7 ext/mysql, PHP 8 each()/create_function() kaldırır ve tür/imza kurallarını sıkılaştırır; PHP 8.2 dinamik özellikleri kullanımdan kaldırır. Her geçiş belgesini okuyun. Tarihî minimum destek önerisi veya özel kod testi değildir.
04
Onarım, geçiş veya arşiv seçin
Doğrulanmış üretici yaması zaman kazandırabilir; iki CVE ve desteği kanıtlayın. Desteksiz PHP destekli hedef ister, kalıcı WAF istisnası değil. Yönetilebilir uygulamayı onarın, terk edilmiş bağımlılıkları değiştirin; statik arşivde giriş, arama, form işlevlerini ayrıca ele alın.
05
Gerçekçi özel prova kurun
Web PHP, uzantı, INI, DB, rotaları hedefle eşleyin. Anonim kopyaları kapatın; gerçek e-posta, tahsilat ve üretim webhooklarını engelleyin. Framework, eklenti ve özel kodu birlikte test edin. İş kabulü ve günlükleri saklayın; hostingden bu kayıtları isteyin.
06
Veri yazımıyla geri dönüş planlayın
Eşleşen dosya/DB seti saklayın. PHP geri almak şemayı geri almaz. Yazma duraklaması veya denenmiş senkronizasyon, hata ölçütü, sorumlu ve süre belirleyin. Snapshot sonrası siparişleri hesaba katıp geri yükleme ve mutabakatı deneyin.
07
Geçiş sonrası gerçek servisleri doğrulayın
Web PHP, FPM havuzları, kuyruklar, görevler, konteynerler, kopyaları kontrol edip eski süreçleri değiştirin. İki CVE düzeltmesini sürüm/bültenle kanıtlayın. Derin bağlantı, giriş, yükleme ve işleri test edin. Günlük ve dönüş süresi tutun; CLI/anasayfa yetmez.
PHP2Shell yamalarını doğrulayın ↗PHP2Shell düzeltmesinden sonra işlev testleri
Giriş, oturum ve roller
Test hesabıyla giriş, çıkış ve parola sıfırlamayı; oturum, yönetim ve rol izinlerini deneyin.
Derin bağlantı ve HTTP
Derin bağlantı, form ve olmayan sayfayı açın; parametre, yönlendirme ve HTTP durumunu karşılaştırın.
DB okuma/yazma
Test veritabanında okuyup yazın; sürücüler, katı SQL, işlemler ve verinin dönüşünü doğrulayın.
Özel şablon ve kaçış
Makale, liste, hesap ve hata şablonlarını açın; özel etiket, kaçış, önbellek ve uyarıları inceleyin.
Yükleme ve küçük resimler
Zararsız görsel yükleyip küçük resmi alın ve silin; izin, yol ve URL kontrolünde çalıştırılabilir yüklemeleri kapalı tutun.
Yeni ve eski işler
Yeni worker ile yeni ve eski işi çalıştırın; serileştirme, tekrar ve mükerrer işlemleri kontrol edin.
Zamanlama ve PHP yolları
Zamanlayıcının gerçek PHP, INI ve hesabını kontrol edin; zararsız görevi deneyip dağıtım sonrası karşılaştırın.
Soğuk/sıcak önbellek ve OPcache
Belgelenen şekilde önbellek oluşturun; soğuk/sıcak istekleri, eski serileştirmeleri ve OPcache süreçlerini kontrol edin.
Test e-posta teslimi
E-postaları test toplayıcıya gönderin; şablon, kuyruk ve taşımayı gerçek müşterisiz doğrulayın.
Sipariş, vergi ve stok
Sandbox siparişte kargo, vergi, indirim ve iadeyi deneyin; toplam, stok ve geçmişi karşılaştırın.
Sandbox ödeme ve bildirim
Başarılı/başarısız ödeme ve asenkron bildirimi deneyin; imza ve idempotans ile çift tahsilatı önleyin.
Arama indeksleri ve filtreler
Test arama indeksini oluşturun; sorgu, filtre ve izinleri PHP yanıtından bağımsız doğrulayın.
Siteler, alanlar ve diller
Her site, alan adı ve dili doğru rolle deneyin; çerez, URL ve yerel ayarları doğrulayın.
GBK/UTF-8 ve veri kontrolü
Özel karakterleri form, DB ve dışa aktarmada deneyin; ayrı dönüşüm testi öncesi GBK/UTF-8 korunsun.
API sözleşme ve callbacks
API erişimini kimlikle ve kimliksiz deneyin; JSON türleri, hatalar, HTTP ve callbacks karşılaştırılsın.
Web/CLI uzantıları ve ABI
Web/CLI uzantılarını doğru ABI/NTS/ZTS ile doğrulayın; sürücü ve servisleri deneyin.
PHP2Shell yamalarını doğrulayın
Uygulama uyumluluğu, bakım ve PHP güvenliği ayrı kontrollerdir. Her iki CVE düzeltmesini içeren desteklenen PHP dalını seçip tüm Web işçilerini, zamanlanmış işleri ve kopyaları doğrulayın. Eklenti güncellemesi PHP’yi değiştirmez.
| PHP dalı | Bu sürümün altındaki özgün sürümler | İlk düzeltilen sürüm | Güvenlik desteği sonu |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 Ara 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 Ara 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 Ara 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 Ara 2026 |
Bu dallar için normal PHP sürümü yoktur. 7.4, 8.0 ve 8.1 için asgari kaynak yamaları vardır. Sağlayıcı desteğini ayrıca doğrulayın. Rehberi oku ↗