21 Ekim 2026 tarihinde PHP projesi, PHP'nin kendisindeki iki kritik açık için düzeltmeler yayınladı. Her ikisi de CVSS 9.2 olarak derecelendirildi ve bunları bulan araştırmacılar bunlara php2shell adını veriyor. Sorun PrestaShop'ta veya herhangi bir modülde değil, ancak her PrestaShop mağazası PHP üzerinde çalıştığı için neredeyse tüm mağazaları etkiliyor. Aşağıda: neler oluyor, hangi PHP sürümleri düzeltildi ve bugün ne yapmalısınız.
Sorun Nedir?
İki güvenlik açığı, PrestaShop'un kendi kodundan önce çalışan katman olan PHP çalışma zamanında yer almaktadır. Duyuruya göre, bir saldırkı bunları PHP süreçlerini çökertmek, hassas verileri okumak veya en kötü durumda sunucunuzda giriş yapmadan kod çalıştırmak için kullanabilir.
- CVE-2026-109618: PHP belleği tükendiğinde, istek verileri yarı başlatılmış durumda kalabilir ve sonraki temizleme işlemi bu eksik verileri geçerli olarak kabul eder.
- CVE-2026-109619: Belleği serbest bırakıldıktan sonra dahili istek durumu hayatta kalabilir, böylece aynı PHP çalışanındaki sonraki bir istek bu eski durumu kullanabilir.
Web isteklerine hizmet veren her PHP yüklemesi risk altındadır: PHP-FPM, mod_php kullanan Apache, php-cgi, FrankenPHP ve LiteSpeed. Risk en yüksek mod_php ile birliktedir.
PrestaShop Güncellemesi Neden Yardımcı Olmaz?
PrestaShop'u veya modüllerinizi güncellemek bunu düzeltmez. Uygulama kodu çalışmadan önce gerçekleşen bir saldırıyı uygulama içindeki koruma durduramaz. Tek gerçek çözüm, sunucunuzdaki güncellenmiş bir PHP sürümüdür.
Hangi PHP Sürümleri Düzeltildi?
| PHP Dalı | Düzeltilen Sürüm |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
PHP 7.4, 8.0 ve 8.1 için PHP projesi minimum arka bağlantılar (backport) yayınladı. Linux dağıtımlarının bazen sürüm numarasını değiştirmeden düzeltmeyi uyguladığını unutmayın, bu nedenle daha eski görünen bir sürüm yine de yamalanmış olabilir. Bu nedenle yalnızca numaraya bakmak yerine barındırma sağlayıcınızdan onay istemelisiniz.
Şimdi Ne Yapmalısınız?
1. PHP Sürümünüzü Kontrol Edin
PrestaShop yönetim panelinde Gelişmiş Parametreler > Bilgi bölümüne gidin. Orada mağazanızın hangi PHP sürümünde çalıştığını görürsünüz.
2. Barındırma Sağlayıcınızdan Yazılı Onay İsteyin
Barındırma sağlayıcınızla iletişime geçin ve CVE-2026-109618 ve CVE-2026-109619 için düzeltmenin sunucunuza uygulanıp uygulanmadığını sorun. Cevabı yazılı olarak isteyin.
3. Kendi Sunucunuzu mu Yönetiyorsunuz?
-
Dağıtımınızdan veya resmi PHP sürümlerinden güncellenmiş PHP paketlerini yükleyin.
-
Her PHP sürecini yeniden başlatın: PHP-FPM havuzları, Apache, LiteSpeed ve FrankenPHP çalışanları. Yüklenen ancak yüklenmeyen bir güncelleme sizi korumaz.
-
Yayın gününde PHP projesi, gönüllüler tarafından yürütülen
rpms.remirepo.netdeposunu beklememeyi tavsiye etmiş ve dağıtım paketlerini veya kaynaktan derlemeyi önermiştir. -
Docker mı kullanıyorsunuz? Görsellerinizi güncellenmiş taban görsel üzerinde yeniden oluşturun ve tekrar dağıtın.
4. Hala PHP 8.1 veya Daha Eski Bir Sürümde misiniz?
Barındırma sağlayıcınıza PHP sürümünüzün yamalanıp yamalanmadığını sorun. PrestaShop'u daha yeni PHP'yi destekleyen bir sürüme yükseltmek acil bir düzeltme değil, ayrı, uzun vadeli bir iştir. Planlama için: PrestaShop 9, PHP 8.1'den 8.5'e kadar destekler ve PHP 8.2, 31 Aralık 2026'da ömrünü tamamlayacaktır. PrestaShop 1.7 ve 8.x mağazaları genellikle hâlâ PHP 7.x veya 8.1 üzerinde çalışır.
Henüz Güncelleyemiyorsanız Geçici Önlemler
Bu önlemler teknik ekibe yöneliktir. Bunları önce bir hazırlık (staging) kopyasında test edin; riski azaltırlar ancak PHP güncellemesinin yerini almazlar.
CVE-2026-109618 için:
post_max_sizedeğerini düşürün: kılavuz, mağazanız hiçbir yükleme kabul etmiyorsa8M, kabul ediyorsa32Mönermektedir.upload_max_filesizedeğerini bunun altında tutun.- Ayrıca web sunucunuzda veya ters vekil sunucunuzda istek boyutu sınırlarını uygulayın.
CVE-2026-109619 için:
php.ini, PHP-FPM havuzu veya sunucu yapılandırmasındasession.upload_progress.enabled=0ayarlayın ve tüm çalışanları yeniden başlatın.ini_set()veya.user.iniyeterli değildir.- PHP 8.5'te ayrıca
fatal_error_backtraces=0ayarlayın ve çalışanları yeniden başlatın.
error_reporting, display_errors veya @ ile hataları gizlemek yardımcı olmaz. Önlemlerin tam listesi resmi PHP güvenlik danışmanlığında yer almaktadır.
Bir Web Uygulama Güvenlik Duvarı (WAF) Yardımcı Olur mu?
Cloudflare, 21 Ekim'den beri varsayılan olarak etkin olan php2shell için özel WAF kuralları yayınladı. Ücretli bir plan üzerinde, yönetilen kural kümesinin blok (block) olarak ayarlandığını kontrol edin. Bir WAF'ın yalnızca içinden geçen trafikleri koruduğunu unutmayın: sunucunuzun yalnızca WAF sağlayıcınızdan web trafiği kabul ettiğinden emin olun. WAF ek bir katmandır, PHP güncellemesinin yerini tutmaz.
Yardıma mı İhtiyacınız Var?
Sunucunuzun yamalanıp yamalanmadığından emin değil misiniz, yoksa hâlâ eski bir PHP sürümünde misiniz? PHP sürümünüzü ve yapılandırmanızı kontrol ediyoruz, barındırma sağlayıcınıza doğru soruları soruyoruz ve desteklenen bir PHP ve PrestaShop sürümüne geçiş adımını planlamanıza yardımcı oluyoruz. Güvenlik hizmetimiz hakkında daha fazla bilgi edinin, bir yükseltme planlayın veya bize bir soru sorun.
Kaynak: build.prestashop-project.org üzerindeki "Critical PHP security updates: what PrestaShop users need to know" (21 Ekim 2026) ve CVE-2026-109618 ile CVE-2026-109619 için PHP güvenlik danışmanlıkları.
