PHP2Shell Kontrolü
PHP2Shell (CVE-2026-109618 / CVE-2026-109619) için alan adınızın dışarıdan görünen PHP sürümünü pasif kontrol edin.
Ücretsizdir; hesap gerekmez. Yalnızca yetkili alan adları. İstekler Bikare worker’ında işlenir; üçüncü taraf scan API’sine gönderilmez. Sürüm gizliyse yapıştır modunu kullanın.
PHP2Shell nedir?
PHP2Shell, CVE-2026-109618 ve CVE-2026-109619 numaralı iki kritik zafiyetin ortak adıdır. Web isteklerine yanıt veren PHP kurulumlarında kimlik doğrulaması olmadan uzaktan kod çalıştırmaya yol açabilir.
PHP projesi desteklenen tüm dallar için düzeltme yayımladı. CISA, kurumlara yamanın gecikmeden uygulanmasını önerir. Bu sayfa, dışarıdan görünen PHP sürümünü pasif olarak kontrol eder; saldırı veya exploit isteği gönderilmez.
Düzeltilmiş PHP sürümleri
8.1 ve öncesi destek dışıdır; resmi güvenlik yaması beklenmez.
| PHP dalı | Minimum güvenli sürüm |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1 ve öncesi | Destek dışı — 8.2+ geçiş |
Ne yapmalısınız?
- 01
Dalınıza uygun yamalı sürüme yükseltin
8.2.35, 8.3.36, 8.4.27 veya 8.5.12 (veya dağıtımınızın eşdeğer güvenlik paketi). Panel sürümü ile web sürümü farklı olabilir; FPM/Apache modülünü doğrulayın.
- 02
8.1 ve altını planlı şekilde emekli edin
Resmi güvenlik dalı kapalıdır; geçici ayarlar kalıcı çözüm değildir.
- 03
PHP-FPM ve web sunucusunu yeniden başlatın
Yükseltmeden sonra eski süreçler açık sürümü çalıştırmaya devam edebilir.
- 04
Sunucuda sürümü doğrulayın
Dış kontrol başlıkları gizliyorsa veya dağıtım paketi sürümü farklı gösteriyorsa kesin sonuç sunucudaki php -v ve php-fpm -v çıktısındadır.
Yamaya kadar geçici önlemler
Geçici önlemler yamanın yerini tutmaz; yalnızca riski azaltır.
- memory_limit ve post_max_size değerlerini uygulamanızın gerçek ihtiyacına indirin.
- session.upload_progress.enabled = 0 ayarını uygulayın.
- PHP 8.5 kullanıyorsanız fatal_error_backtraces = 0 ayarını uygulayın.
- Ayarların geçerli olması için PHP-FPM ve web sunucusunu yeniden başlatın.
Sunucunuzda sürümü doğrulayın
Aşağıdaki komutları yetkili olduğunuz sunucuda çalıştırın; yapıştır modunda yalnızca semver gönderilir.
PHP CLI sürümü
php -vDebian / Ubuntu paketleri
dpkg -l 'php*' | grep -E '^ii'RHEL / Alma / Rocky paketleri
rpm -qa 'php*'PHP-FPM (web istekleri)
php-fpm -vDebian/Ubuntu sürüm adı örneği
php-fpm8.3 -vDocker Compose
docker compose exec app php -v
Dağıtım duyuruları ve kaynaklar
Dağıtımlar yamayı sürüm numarasını değiştirmeden ekleyebilir; paket sürümünü duyuru ile karşılaştırın.
Pasif dış kontrol
Site modunda ana sayfanıza en fazla birkaç sıradan GET isteği gönderilir; önce HTTPS, gerekirse HTTP. POST, exploit veya saldırı trafiği yoktur.
Sürüm X-Powered-By ve Server başlıklarından okunur; gizliyse yapıştır modunda panelden aldığınız semver ile advisory karşılaştırılır. Yönlendirmeler aynı host içinde ve yalnızca internete açık adreslerle sınırlıdır.
Kontroller Bikare tools-worker üzerinde çalışır; üçüncü taraf scan API’sine (ör. ScanMyHost) gönderilmez. Yalnızca yetkili olduğunuz alan adlarını tarayın.
Sık sorulan sorular
PHP2Shell kontrolü ücretsiz mi?
Evet. Alan adı taraması ve yapıştır modu ücretsizdir; hesap gerekmez.
PHP2Shell ile PHP sürüm kontrolü aynı mı?
Aynı motoru kullanır. Bu sayfa PHP2Shell (CVE-2026-109618 / 109619) odaklı SEO ve rehber içerir; genel sürüm kontrolü için /araclar/php-surum-kontrolu sayfasını da kullanabilirsiniz.
NordTracer veya ScanMyHost gibi mi?
Benzer pasif dış kontrol amacı taşır; istekler Bikare worker’ında kalır, api.scanmyhost.com gibi üçüncü taraf scan API’sine proxy edilmez.
Sadece alan adı mı girebilirim?
Site modunda yalnızca alan adı (host); IP, port ve yol kabul edilmez. SSRF koruması uygulanır.
Başlıklarda sürüm gizliyse ne olur?
Durum “bilinmiyor” olabilir. Hosting panelinden php -v çıktısındaki semver’i yapıştır moduna girin; tam phpinfo metni sunucuya iletilmez.
Hangi sürümler güvende sayılır?
8.2.35, 8.3.36, 8.4.27 ve 8.5.12 ve üzeri (dal bazlı minimum); 8.1 ve altı resmi yama almaz.
Verilerim saklanır mı?
Özet audit kaydı (domain, sonuç durumu, süre) tutulabilir; ham yapıştırma metni ve tam phpinfo loglanmaz.
Bu araç sunucuma saldırır mı?
Hayır. Pasif GET ve başlık okuma; exploit veya POST gönderilmez.
CLI PHP ile web PHP farklı olabilir mi?
Evet. Site modu web isteğine cevap veren sürümü yansıtır; kesin doğrulama için php-fpm -v kullanın.
Advisory ne sıklıkla güncellenir?
Worker içi minimum sürüm tablosu (PHP2Shell / Ekim 2026 özeti); canlı CVE feed değildir. Panelde advisory zaman damgası run anına göre gösterilir.