--- title: "PHP, 21 Ekim 14:00 UTC’de iki kritik RCE açığı için acil yama yayınlayacak" url: "https://teknotayf.com/haber/php-21-ekim-14-00-utc-de-iki-kritik-rce-acigi-icin-acil-yama-yayinlayacak" markdown_url: "https://teknotayf.com/haber/php-21-ekim-14-00-utc-de-iki-kritik-rce-acigi-icin-acil-yama-yayinlayacak.md" site: "teknotayf.com" language: "tr" published: "2026-10-21 13:36:53" updated: "2026-10-22 02:04:54" category: "Siber Güvenlik" tags: ["Yama Yönetimi","Sunucu Güvenliği","PHP Güvenlik","RCE Açığı"] source: "The Hacker News" --- # PHP, 21 Ekim 14:00 UTC’de iki kritik RCE açığı için acil yama yayınlayacak > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/php-21-ekim-14-00-utc-de-iki-kritik-rce-acigi-icin-acil-yama-yayinlayacak > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** PHP, 21 Ekim 14:00 UTC’de 9.2/10 puanlı iki kritik PHP2Shell RCE açığı için yama yayınlayacağını duyurdu. Güvenlik firması GMO Flatt Security, daha önce önerdiği session.upload_progress.enabled=0 ayarının tek başına yeterli olmadığını açıkladı. Uzmanlar, yama gelene kadar riski azaltmak için PHP’yi internetten ayırma ve erişim kontrolleri gibi önlemler alınması gerektiğini vurguluyor. - **Yayın tarihi:** 2026-10-21 13:36 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Yama Yönetimi, Sunucu Güvenliği, PHP Güvenlik, RCE Açığı - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/php2shell-what-actually-protects-you.html) ![PHP, 21 Ekim 14:00 UTC’de iki kritik RCE açığı için acil yama yayınlayacak](https://teknotayf.com/assets/uploads/2026/10/bdde2052112c38617b9d9a2b44122ab4.jpg) Swati Khandelwal 21 Eki 2026 Açıklık / Sunucu Güvenliği PHP2Shell adı verilen iki kritik PHP açığını bugünkü yama gelmeden tamamen engelleyemezsiniz ve geçici çözüm olarak dolaşan tek ayar tek başına yeterli değil; bunu öneren güvenlik firması şimdi bunu söylüyor. PHP, iki açığı 10 üzerinden **9.2** olarak değerlendirdiği iki açık için 21 Ekim’de **14:00 UTC**’de düzeltmeyi yayınlayacak ve kendi geçici çözümü olmadığını belirtti. Yüklenecek zamana kadar riski azaltan şey, internete açık PHP’yi kapatmak ya da erişim kontrollerinin arkasına almak, ele geçirilen bir sunucunun erişebileceği alanı kısıtlamak ve düzeltme yayınlandığı anda uygulanmaya hazır tutmaktır. Cloudflare, açıkların erken sömürü girişimlerini gördüğünü söylüyor ve siteleri arkasında olanlar için yama yapılana kadar geçici olarak kullanılacak acil kurallar yayınladı. Henüz bir ihlal doğrulanmadı, dolaşan genel sömürü kodu çalışır durumda gösterilmedi ve iki açık da CISA’nın bilinen istismar edilen açıklar kataloğunda değil. PHP, hangi sürümlerin etkilendiğini, PHP’nin hangi kısmının söz konusu olduğunu ya da herhangi bir ayarın riski değiştirip değiştirmediğini söylemedi; tam ayrıntıların ve düzeltilmiş sürümlerin yayınla birlikte geleceğini belirtti. ⚡ GÜNCELLEME — PHP, Sömürü Girişimleri Ortaya Çıkarken İki Kritik PHP2Shell RCE Açığı İçin Acil Yamalar Yayınladı Yazım sırasında bu yayın henüz çıkmamıştı. Dolayısıyla açıkları bulan grup dışındaki hiç kimse bir savunmanın işe yarayıp yaramadığını test edemiyor; bu yüzden aşağıdaki tavsiyeler güvenliği garanti etmekten ziyade riski düşürmekle ilgili. ## Size değiştirmeniz söylenen ayar koruma sağlamıyor Sosyal medyada ve güvenlik bloglarında yayılan geçici çözüm, bir PHP yapılandırma dosyasında tek satır: **session.upload_progress.enabled=0**. Bu ayar, varsayılan olarak etkin olan Session Upload Progress özelliğini kapatır; bu özellik bir dosya yüklemesinin ne kadar ilerlediğini kaydeder, böylece başka bir istek durumu kontrol edebilir. Tokyo merkezli güvenlik firması GMO Flatt Security, 21 Ekim’in erken saatlerinde bu ayarı önermiş ve değişikliğin açıkları tamamen ele alıp alamayacağından emin olamadığını ancak bir olasılıkla yardımcı olacağını söylemişti. Aynı günün ilerleyen saatlerinde firma bu görüşten geri adım attı. Japonya saatiyle 14:00’te (05:00 UTC) zaman damgalı güncellemesinde, ayarın tek başına tam bir düzeltme olmadığını ve bunun etrafından dolaşacak saldırılar beklendiğini belirtti. Yöneticilere güncellemelerini hazırlamalarını, yayın öncesi saldırı trafiğini izlemelerini ve düzeltme çıktığı anda uygulamalarını söyledi. PHP projesinden iki kişi aynı şeyi daha sert söyledi. Yükleme ilerleme ayarının açığı yamalayabileceğini öne süren birine yanıt olarak, PHP Foundation tarafından finanse edilen PHP çekirdek geliştiricisi ve dokümantasyon yazarı Gina Peter Banyard yazdı: "Söyleyebileceğim tek şey, tek azaltma yönteminin PHP’yi yamalamak / yükseltmek olduğudur. Maalesef çok fazla şey biliyorum." Yaklaşan PHP 8.6 için sürüm yöneticisi Joe Ferguson daha kısa konuştu: "ini ayarları seni kurtarmaz." Ayarın güvenilmemesinin iki nedeni var. GMO Flatt bunun etrafından dolaşacak bir yol bekliyor ancak ne olduğunu söylemedi. Ve sorunun Session Upload Progress’te olduğu fikri bir tahmin: PHP bunu doğrulamadı, firma kendisi bunun kendi araştırmasının PHP2Shell ile eşleştiği ölçüde geçerli olduğunu söyledi ve bağımsız bir kod denetimi, diğerlerinin o özellikle ilgili olarak tanımladığı belirli hatanın yayınlanan PHP’de mevcut olmadığını savunuyor. Bu denetim anonim bir hesaptan ve PHP’nin kendi kodu bunu çözecek, ancak ayarın bir kalkan olarak görülmemesi için bir neden daha. ![](https://teknotayf.com/assets/uploads/2026/10/406671e42b143bbcaddca535d6d8983f.webp) Herkes aynı fikirde değil. Upwind adlı bir satıcı, ayarı hâlâ acil bir azaltma olarak listeliyor ve kendi testleri yerine başka bir araştırmacının analizini aktarıyor. watchTowr, açıkların birini yeniden üretti ve "şu anda onaylanmış bir yama veya geçici çözüm yok" diyor. ## Eğer zaten ayarladıysanız Kimse değişikliği geri almanızı söylemiyor. Talimat sadece bunu koruma olarak saymamanız. PHP’nin kendi kılavuzu zaten yükleme ilerleme çubuklarını kullanmayan bir uygulamada özelliği kapatmayı öneriyor, çünkü depolanan dosya adları ve alan adları "doğrulanmaz ve PHP kodu içerebilir." Yanlışlıkla bir yerde açtıysanız ve buna ihtiyaç varsa tek maliyeti yükleme ilerleme çubuklarının çalışmaması. Değişikliğin gerçekten web trafiğine hizmet eden işlemde etkin olduğundan emin olun, komut satırında değil. Ayar INI_PERDIR olduğundan php.ini, .htaccess veya .user.ini’de ayarlanabilir. .user.ini dosyası yalnızca CGI ve FastCGI PHP sürümleri tarafından okunur, Apache modülü tarafından değil ve PHP varsayılan olarak her 300 saniyede bir yeniden okur, bu yüzden oradaki bir değişikliğin uygulanması beş dakika sürebilir. Apache modülü altında .htaccess veya sunucu yapılandırmasını kullanın. Değeri, sitenize hizmet eden PHP-FPM veya mod_php üzerinde doğrulayın, kabukta php -i üzerinde değil. ## Eğer 14:00 UTC’de yamalayabiliyorsanız Şimdi hazırlanın. GMO Flatt’ın tavsiyesi, güncelleme adımlarınızı ve sonrasında çalıştıracağınız kontrolleri doğrulamanız, olası bir yapılandırma değişikliğini prova etmeniz ve olası bir acil yeniden başlatma için insanları ve onayları hazır tutmanız. Düzeltme geldiğinde, uygulamanın üstündeki değil, web isteklerine hizmet eden çalışma zamanını güncelleyin; bu PHP-FPM, mod_php veya CGI. PHP düzeltmeleri yalnızca desteklenen dört dalı için yayınlar, 8.2’den 8.5’e. Hangi kesin sürümlerin düzeltmeyi içerdiği ve açıkların ne kadar geriye uzandığı, yayınla birlikte duyurulacak. The Hacker News, dal desteğini ve ifşa hakkındaki daha geniş arka planı, ifşa hakkındaki önceki haberinde bildirdi. ## Eğer hemen yamalayamıyorsanız ya da desteklenmeyen bir sürüm çalıştırıyorsanız Hemen güncelleme mümkün değilse CERT-EU, kuruluşların "düzeltme uygulanana kadar internete açık uygulamaları genel ağlardan izole etmeyi düşünmelerini" öneriyor. Banyard proje içinden aynı noktayı vurguladı: bir sunucuyu bir gün kapatmak "en mantıklı şey olabilir. Ama bu çoğu insan için makul bir talep değil." Kapatma dışında, erişimi kısıtlayın: siteyi bir VPN’in, izin verilen istemcilerin ya da kenarda kimlik doğrulaması arkasına alın ve bu kontrollerin etrafından doğrudan kaynağa trafik ulaşamadığını kontrol edin. Sunucu ele geçirilirse saldırganın elde edeceği şeyi küçültün. GMO Flatt’ın diğer adımları, sunucuda depolanan veriyi azaltmak, ayrıcalıklarını düşürmek, bulut rolleri dahil depolanmış kimlik bilgilerini kaldırmak ve daha sonra araştırma yapabilmek için günlüklemenin etkinleştirilmesini ve güvenli bir konumda saklanmasını sağlamaktır. 8.2’den eski dallar, 8.1, 7.x ve 5.x dahil, kullanım ömrünü tamamlamış durumda ve PHP düzeltmesi almıyor. Bunlar için yükseltin, sistemi çevrimdışı alın ya da izole edin; bir Linux dağıtımı veya barındırma sağlayıcısı kendi programına göre bir düzeltmeyi geri taşıyabilir. Bir araştırmacı, oturum ayarından daha güçlü bir geçici çözüm öneriyor: şüpheli sorunun PHP’nin gövdeyi nasıl okuduğuyla ilgili olduğu için, web sunucusunda PHP’ye ulaşmadan önce multipart/form-data gövdesi taşıyan istekleri engellemek. Bunu denerken bunu yalnızca POST için değil, daha geniş engelleyin. PHP 8.4, multipart gövdelerini diğer yöntemlerde de okuyan request_parse_body() işlevini ekledi, bu yüzden yalnızca POST’a özel bir kural atlatılabilir. Maliyet gerçek: dosya yüklemeleri ve dosyası olmayan ancak multipart gönderen bazı formlar, engeli kaldırana kadar çalışmaz. Ve oturum ayarı gibi bu da doğrulanmış bir giriş yolunu değil, şüphelenilen bir giriş yolunu hedefler, bu yüzden maruziyeti azaltır, güvenliği garanti etmez. Web uygulama güvenlik duvarı burada bir düzeltme değil, geçici bir çözümdür ve Cloudflare kendisi de bunu söylüyor. Bilinen sömürü yolları için acil kurallar yayınladı, ücretsiz katman dahil, CTO’su bunu yama öncesinde "yalnızca GEÇİCİ" olarak adlandırıyor. Bu kurallar yalnızca Cloudflare üzerinden geçen trafiği görür ve yeni saldırı yolları ortaya çıktıkça kaçırabilir. ## Eğer PHP’yi başkası çalıştırıyorsa WordPress, Laravel veya başka bir uygulamayı güncellemek, altındaki PHP çalışma zamanını güncellemiyor; bu sunucu paketinizden, barındırma sağlayıcınızdan veya kapsayıcı görüntünüzden gelir. Yönetilen veya paylaşımlı barındırmada, sağlayıcınıza düzeltilmiş bir PHP derlemesinin ne zaman geleceğini sorun ve hazır beklemelerini sağlayın. Barındırma sağlayıcıları paketlerini PHP düzeltmeyi yayınladıktan sonra oluşturur: CloudLinux örneğin, güncellenmiş paketlerinin yukarı akış sürümüne bağlı olduğunu ve hazır olduğunda yayınlanacağını söylüyor. PHP’yi bir Linux dağıtımının paketlerinden çalıştırıyorsanız bir tuzak var: Debian, Ubuntu ve benzerleri güvenlik düzeltmelerini geri taşır ve sizi yeni bir sürüme taşımaz, bu yüzden yamalayan bir paket eski görünen bir sürüm numarasını koruyabilir. Düzeltilip düzeltilmediğinizi yalnızca sürüm dizesinden yargılamayın; paket günlüğünde CVE’yi kontrol edin ya da kesin paket sürümünü dağıtımınızın duyurusuyla karşılaştırın. ## Yayın geldiğinde neyi kontrol edeceksiniz Sömürü erken ve doğrulanmamış. Cloudflare ortaya çıkan girişimler bildiriyor; watchTowr bir açığı yeniden ürettiğini ancak saldırıları bildirdiğini söylemiyor; dolaşan genel sömürü kodu çalışır durumda gösterilmedi; ve iki açık da 21 Ekim’de son kontrol edildiğinde CISA’nın bilinen istismar edilen açıklar kataloğunda değildi. Bir araştırmacı, sömürü zincirini göstermeyi amaçlayan bir video yayınladı ve yukarıdaki denetim, dolaşan kanıt-oluşturma kodunun yayınlanan PHP’ye karşı tetiklenmediğini belirtiyor. Tüm bunları saatler içinde değişebilecek bir anlık görüntü olarak ele alın. Düzeltme yayınlandığında, dalınız için düzeltilmiş sürümü, PHP’nin etkilenen olarak listelediği sürümleri, PHP’nin herhangi bir ayarı azaltma olarak onaylayıp reddettiğini ve oturum kodunun değişip değişmediğini kontrol edin; bu aynı zamanda sorunun nerede olduğu konusundaki anlaşmazlığı da yanıtlar. Düzeltilmiş sürümler ve danışma php.net’te ve PHP’nin GitHub güvenlik danışmaları üzerinden görünecek; proje burada kendi tanımlayıcılarını atar. Güncelledikten sonra, yamaladığınızdan önce olanlar için günlüklerinizi gözden geçirin. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/php-21-ekim-14-00-utc-de-iki-kritik-rce-acigi-icin-acil-yama-yayinlayacak Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.