SunucuKontrol — Sunucu Yönetim Paneli
WordPress

WordPress siteleri php2shell açığından nasıl korunur?

Yayın:

Kısaca
Kimin için?
WordPress sitesi olan herkes; hosting ya da kendi sunucunuz fark etmez.
Önemli nokta
Açık WordPress'te değil PHP'de. WordPress'i ya da eklentileri güncellemek açığı kapatmaz.
Ne yapmalıyım?
Araçlar → Site Sağlığı → Bilgi → Sunucu'dan PHP sürümüne bakın. Eskiyse hosting firmanızdan güncelleme isteyin ya da kendiniz güncelleyin.

21 Ekim 2026'da duyurulan php2shell açığı WordPress'te değil, WordPress'i çalıştıran PHP'nin kendisinde. Bu yüzden WordPress'i, temayı ya da eklentileri güncellemek açığı kapatmaz. Araştırmacılar belirli WordPress sürümlerine karşı, giriş yapmadan çalışan saldırılar gösterdi.

Sitem etkileniyor mu?

Sitenizin kullandığı PHP sürümüne bakın: WordPress yönetim panelinde Araçlar → Site Sağlığı → Bilgi → Sunucu bölümünde "PHP sürümü" satırı.

Paylaşımlı hosting kullanıyorsanız

PHP'yi hosting firmanız günceller. Firmanıza açığın adıyla (CVE-2026-109618, CVE-2026-109619) sorun ve yamanın kurulduğu tarihi isteyin. Hosting panelinizde PHP sürümü seçilebiliyorsa en güncel desteklenen dalı seçin; 8.1 ve öncesinde kalmayın.

Kendi sunucunuz (VPS) varsa

PHP paketlerini güncelleyip PHP-FPM'i yeniden başlatmanız yeterli. Komutlar PHP sürümü güncelleme rehberinde. Güncellemeden sonra Site Sağlığı ekranında yeni sürümü görmelisiniz.

Hemen güncelleyemiyorsanız

Güncelledikten sonra: site temiz mi?

Saldırılar 17 Ekim'de başladı. WP-CLI ile çekirdek ve eklenti dosyalarını resmî sürümlerle karşılaştırın:

wp core verify-checksums
wp plugin verify-checksums --all
# Yönetici hesaplarını gözden geçirin:
wp user list --role=administrator --fields=ID,user_login,user_registered
# Yükleme dizininde PHP dosyası olmamalı:
find wp-content/uploads -name '*.php'

Tanımadığınız yönetici, değişmiş çekirdek dosyası ya da yüklemelerde PHP dosyası görürseniz saldırı kontrol listesindeki adımları izleyin ve WordPress güvenlik anahtarlarını (wp config shuffle-salts) yenileyin.

SunucuKontrol ile WordPress

SunucuKontrol'ün kendi sunucularında PHP yamalı sürümlere güncellendi. Paneli kendi sunucunuzda kullanıyorsanız 1.53.1 sürümüne güncelleyin: panel Ubuntu'da PHP güvenlik yamalarını artık kendiliğinden kurar. Bu, sunucuda unattended-upgrades paketinin kurulu ve açık olmasına bağlıdır; panel paketi kendisi kurmaz ve minimal imajlarda kurulu gelmeyebilir. Kontrol: apt-config dump | grep Unattended-Upgrade çıktısında APT::Periodic::Unattended-Upgrade "1" görünmeli; görünmüyorsa sudo apt-get install unattended-upgrades ve sudo dpkg-reconfigure -plow unattended-upgrades ile açın. Panelin Güvenlik Puanı ekranı da bu durumu uyarı olarak gösterir. Panelin WordPress ekranı kurulu siteleri ve sürümlerini tek yerde gösterir; Alan adları ekranından her sitenin PHP sürümünü ayrı seçebilirsiniz.

İlgili yazılar