WordPress dünyası yılın en yoğun güvenlik dönemlerinden birini yaşıyor. Bu hafta PHP projesinin yayımladığı kritik güncelleme, yaz aylarında yapay zekanın keşfettiği çekirdek açıklarla birleşince, siteleri yöneten herkes için acil bir güncelleme ve denetim gündemi oluştu.
PHP2Shell Nedir ve Neden Bu Kadar Önemli
PHP projesi 21 Ekim 2026 tarihinde, her biri 9.2 CVSS puanı taşıyan iki kritik güvenlik açığını kapatan sürümleri yayımladı. Araştırmacılar bu açıklara PHP2Shell adını verdi. Açıkların kayıt numaraları CVE 2026 109618 ve CVE 2026 109619 olarak duyuruldu. Düzeltmeler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde yer alıyor.
Birinci açık bellek tükenmesi sırasında oluşan bozulmaya dayanıyor. İstek işlenirken bellek biterse PHP yarım kalmış iç verileri geçerli sayabiliyor. İkinci açık ise istekler arasında kalan eski verilerle ilgili. Bir isteğe ait iç veri, arkasındaki bellek serbest kalsa bile yaşamaya devam edebiliyor ve aynı PHP işçisi üzerinden gelen sonraki istek bu eski veriyi devralabiliyor. Sonuç, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırma ihtimali.
WordPress tamamen PHP üzerinde çalıştığı için bu haber doğrudan her WordPress sitesini ilgilendiriyor. PHP ekibi, web isteklerine hizmet veren tüm kurulumların risk altında olduğunu belirtti ve en yüksek riski mod_php yapılandırmasında gördü. Yani sorun bir eklenti ya da tema kusuru değil, sitenin altındaki dil motorunun kendisi.
Saldırılar Hızla Başladı
Tehdit teorik kalmadı. Bir barındırma firması, kamuya açık bir kanıt kodunun kullanıldığı istekleri sabah saatlerinde, 08.44 UTC civarında kendi platformunda görmeye başladığını bildirdi. Aynı firma öğleden sonra otomatik tarayıcıların çok sayıda siteyi kontrol ettiğini de aktardı. Aynı kaynağa göre güvenlik duvarı kuralları bu denemeleri engelledi. Ancak herkes bu korumaya sahip değil. WordPress.com üzerinde barındırılan siteler için bir işlem gerekmiyor, kendi sunucusunu yöneten kullanıcılar ise hemen güncelleme yapmalı.
Eski PHP Sürümleri Ayrı Bir Risk
Asıl dikkat edilmesi gereken kesim eski sürümleri kullanan siteler. PHP 8.1 ve öncesi desteğini yitirdiği için bu sürümlere yeni sürüm yerine kaynak kod yaması yayımlandı. 8.1, 8.0 ve 7.4 için yama mevcut ancak bu sürümler gelecekte yeni düzeltme almayacak, bu nedenle PHP 8.2 veya üstüne geçmek en sağlıklı çözüm. Sürüm numarası yama sonrasında değişmeyebileceği için hosting sağlayıcınıza yamanın uygulanıp uygulanmadığını sormanız gerekiyor. WordPress panelinde Araçlar altındaki Site Sağlığı bölümünden PHP sürümünüzü görebilirsiniz.
Yapay Zekanın Bulduğu WordPress Çekirdek Açıkları
Bu haber tek başına bir olay değil, yılın örüntüsünün parçası. Temmuz ayında wp2shell olarak anılan zincir ortaya çıktı. Açık, Searchlight Cyber bünyesindeki Assetnote ekibinden Adam Kues tarafından, bir yapay zeka modeliyle yürütülen araştırma projesiyle bulundu. Rapor edildiğine göre keşif yaklaşık 25 dolarlık yapay zeka kullanımıyla gerçekleşti.
Etkisi ciddiydi. Araştırmacılara göre saldırı için hiçbir ön koşul gerekmiyordu ve eklentisiz, standart bir WordPress kurulumunda anonim bir kullanıcı tarafından istismar edilebiliyordu. Etkilenen sürümler 6.9.0 ile 6.9.4 ve 7.0.0 ile 7.0.1 idi. WordPress ekibi ciddiyet nedeniyle etkilenen sürümlerde otomatik güncelleme sistemi üzerinden zorunlu güncelleme başlattı. Ardından istismar girişimleri kısa sürede başladı.
Ağustosta WordPress 7.0.3 yayımlandı. Bu sürüm 12 güvenlik düzeltmesi içeriyordu ve en dikkat çekeni giriş ekranındaki, kimlik doğrulaması gerektirmeyen bir XSS açığıydı. Güvenlik araştırmacısı, açıkların bazılarının yapay zeka odaklı şirketler olan pwn.ai ve doğrudan Anthropic tarafından raporlandığına dikkat çekti. Ekim başında çıkan 7.1.3 sürümünde de benzer bir tablo vardı. Bu güncelleme 7 güvenlik düzeltmesi ve 4 hata düzeltmesi getirdi, bunlar arasında WXR dışa aktarmadaki ikinci dereceden bir SQL enjeksiyonu da vardı ve bu açığı Anthropic bildirdi.
Saldırı ve Savunma Hızı Değişti
Rakamlar tabloyu netleştiriyor. Patchstack 2026 raporuna göre yüksek etkili açıklarda kitlesel istismara kadar geçen ortanca süre yalnızca 5 saat. Aynı kaynağa göre 2025 yılında WordPress ekosisteminde 11.334 yeni açık bulundu, bu da 2024 yılına göre yüzde 42 artış demek. Ayrıca açıkların yüzde 46 kadarı duyurulduğu anda henüz yama içermiyor.
Yapay zeka hem saldırganın hem savunmacının işini hızlandırıyor. Açıkları daha ucuz ve daha hızlı bulmak mümkün hale geldi. Bu da aylarca süren güncelleme alışkanlıklarını tehlikeli kılıyor. WordPress tarafı da buna yanıt veriyor. WordPress, eklenti sürümleri dağıtılmadan önce her sürüm için otomatik güvenlik incelemesi başlatacağını duyurdu.
Eklentiler ve Kalıcı Arka Kapılar
Çekirdek ve PHP açıklarının yanında eklenti sorunları da sürüyor. Bricksforge eklentisindeki maksimum ciddiyetli bir açık için Patchstack, istismar girişimlerini 7 Ekim 2026 gecesi tespit etti. Bunun dışında Eylül ve Ekim aylarında Elementor, Super Forms ve wpForo gibi yaygın eklentilerde de aktif istismar raporları geldi.
Enfeksiyonlar da inceleşiyor. Araştırmacılar, yükünü dosyalara, veritabanına ve paylaşılan belleğe yaymış, temizlik sonrası kendini yeniden kuran bir arka kapı vakası bildirdi. Bu yüzden tek bir kötü amaçlı dosyayı silmek artık yeterli sayılmıyor. Temizlik sonrası site kapsamlı biçimde yeniden doğrulanmalı.
Site Sahipleri Ne Yapmalı
İlk adım PHP sürümünü kontrol edip düzeltmeli sürüme geçmek ya da hosting sağlayıcıdan yamanın uygulandığını teyit etmek. İkinci adım WordPress çekirdeğini güncel tutmak. WordPress ekibi yalnızca en son sürümün aktif olarak desteklendiğini hatırlatıyor. Üçüncü adım kullanılmayan eklenti ve temaları kaldırmak, yönetici hesaplarında iki aşamalı doğrulamayı açmak ve yedekleri sunucudan bağımsız saklamak. Ayrıca bir web uygulama güvenlik duvarı, yeni bir açık duyurulduğunda sanal yama görevi görerek kritik saatleri kazandırabilir.
Sık Sorulan Sorular
PHP2Shell açıkları her WordPress sitesini etkiler mi?
PHP ekibine göre web isteklerine hizmet veren tüm PHP kurulumları risk altında. WordPress PHP üzerinde çalıştığı için yamalanmamış her sitenin kendini riskli kabul etmesi gerekiyor.
Hangi PHP sürümlerine yama yayımlandı?
PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümleri düzeltmeyi içeriyor. 8.1, 8.0 ve 7.4 için kaynak kod yamaları yayımlandı ancak bu sürümler artık desteklenmiyor.
Paylaşımlı hosting kullanıyorsam ne yapmalıyım?
Sağlayıcınızın yamayı uyguladığını yazılı olarak teyit edin. PHP sürümünüzü panelden kontrol edin ve mümkünse 8.2 üzeri bir sürüme geçin. Geçişten önce eklenti ve tema uyumluluğunu test edin.
Yapay zeka WordPress açıklarını gerçekten daha hızlı mı buluyor?
Raporlara göre evet. wp2shell zinciri yapay zeka destekli bir araştırmayla yaklaşık 25 dolarlık kullanımla keşfedildi ve sonraki güvenlik sürümlerinde de yapay zeka odaklı şirketlerin raporları yer aldı. Aynı hız saldırganlara da avantaj sağlıyor.
Siteme saldırı olduğundan şüphelenirsem ne yapmalıyım?
Siteyi bakım moduna alın, sunucu ve WordPress günlüklerini inceleyin, tüm şifreleri ve API anahtarlarını yenileyin, bilinen temiz bir yedeğe dönün ve dosyaların yanında veritabanını da tarayın. Kalıcı arka kapı ihtimali nedeniyle uzman desteği almak yerinde olur.
İleri Okuma ve Kaynaklar
- PHP Güvenlik Duyuruları, php.net, https://www.php.net/archive/2026.php
- WordPress 7.1.3 Maintenance and Security Release, WordPress.org, https://wordpress.org/news/2026/10/wordpress-7-1-3-maintenance-and-security-release/
- Patchstack Güvenlik Makaleleri, https://patchstack.com/articles/
