PHP2Shell nedir?
PHP2Shell, PHP’nin bellek hataları CVE-2026-109618 ve CVE-2026-109619’u kapsar; ikisi de CVSS v4.0 9,2’dir. Kimlik doğrulamasız kod çalıştırma ve bellek ifşası gösterildi. Düzeltmeler 21 Ekim 2026’da yayımlandı. Sorun tek bir CMS ile sınırlı değildir.
Hangi kurulumlar incelenmeli?
Tüm Web kurulumlarını güncelleyin: FPM, mod_php, php-cgi, FrankenPHP ve LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel ve özel uygulamalar riski devralır. Panelleri, cihazları, testleri ve konteynerleri de sayın. Uygulama güncellemesi PHP’yi değiştirmez.
FPM muaf mı?
Hayır. FPM istek başlangıcı başarısızsa alt süreci sonlandırır ve bazı başlangıç dizilerini engeller. Uygulama ve istekler arası yollar kalır. Her ortam mod_php ile aynı değildir; FPM de yama gerektirir.
PHP 8.1 ve öncesi
Normal PHP sürümü yoktur. 7.4, 8.0 ve 8.1 asgari kaynak backport’ları istisnadır; derleme ve doğrulama işletmeciye aittir. OS veya LTS sağlayıcı paket sürdürebilir. Araştırma 5.4’e uzanır, koşullar değişir. Geçiş yapın ve ara yamayı doğrulayın.
PHP2Shell basitçe nedir?
PHP, WordPress, Laravel ve eklentilerin motorudur. Eklenti güncellemesi PHP’yi güncellemez. İki bellek hatası anormal istek temizliğini veri sızıntısı veya kod çalıştırmaya dönüştürebilir. Açık site kontrolü yalnızca ipucu verir; gerçek Web çalışma ortamı ve yamayı yönetici doğrulamalıdır.
PHP2Shell araçları →PHP çalışma ortamına göre kanıt
| Ortam | CVE-2026-109618 ↗ | CVE-2026-109619 ↗ |
|---|---|---|
| Apache mod_php | RCE gösterildi | RCE gösterildi |
| PHP-FPM | Uygulamaya bağlı risk; bu CVE için tam FPM istismarı gösterilmedi | Uygun uygulama yolu üzerinden RCE gösterildi |
php-cgi, FrankenPHP ve LiteSpeed da güncellenmelidir. PHP tüm Web kurulumlarının güncellenmesini önerir. Tablo, gösterilen yolları genel maruziyetten ayırır.