Selamlar,
PHP2Shell yamaları çıktı; ama birçok ekip "apt upgrade yaptık" deyip eski FPM süreçlerinin yaşamaya devam ettiğini günler sonra fark ediyor. Bu yazı hosting / SRE tarafı için operasyonel bir kontrol listesi: envanter, yama, restart, doğrulama.
Konuda anlatılacaklar
- CLI PHP ile web PHP neden farklı olabilir?
- Hangi süreçleri yeniden başlatmalısınız?
- Konteyner ve paylaşımlı hosting farkı
- Doğrulama komutları
Envanter
CISA'nın uyarısı: PHP çoğu zaman başka yazılımların bileşeni olarak gelir ve varlığı doğrudan görünmeyebilir. WordPress, Drupal, Joomla, Laravel, Magento, phpMyAdmin, matomo, çeşitli panel yazılımları...
Kod:
# Debian/Ubuntu
dpkg -l 'php*' | awk '/^ii/ {print $2, $3}'
# RHEL ailesi
rpm -qa 'php*'
# Calisan surecler
ps aux | grep -E 'php-fpm|apache2|httpd|lsphp|frankenphp' | grep -v grep
# Web'in gordugu surum (kendi sunucunuzda gecici phpinfo)
# echo '<?php echo PHP_VERSION;' > /var/www/html/v.php
# curl -sS http://127.0.0.1/v.php && rm /var/www/html/v.phpYama hedefleri
Kod:
8.5.12 | 8.4.27 | 8.3.36 | 8.2.35Restart listesi
Carthage / PHP ekibinin vurgusu: paket güncellendi diye iş bitmez.
- Apache (mod_php) veya PHP-FPM havuzları
- LiteSpeed / lsphp
- FrankenPHP
- Uzun ömürlü worker'lar: kuyruk işçileri, Laravel Octane, Swoole, RoadRunner
- Konteyner: yeniden başlatma değil, yamalı base ile rebuild + redeploy
Kod:
# Ornek (Debian, PHP 8.3 FPM + Apache)
sudo apt-get update
sudo apt-get install --only-upgrade php8.3-fpm php8.3-cli libapache2-mod-php8.3
sudo systemctl restart php8.3-fpm apache2
# Supervisor altindaki worker'lar
sudo supervisorctl restart all
# Surum dogrulama
php -v
curl -sS http://127.0.0.1/v.phpPaylaşımlı hosting
Müşteri olarak WordPress çekirdeğini veya eklentiyi güncellemek PHP runtime'ını güncellemez. Barındırma firmanızdan yazılı teyit isteyin: "Sitemizi sunan PHP sürümü 21 Ekim 2026 PHP2Shell düzeltmesini içeriyor mu?" Teyit gelene kadar WAF ve geçici php.ini kısıtları (session.upload_progress.enabled=0 vb.) riski azaltır ama güvenli yapmaz.
Yama sonrası kısa av
- Upload / cache dizinlerinde tanınmayan .php
- Yeni yönetici kullanıcıları
- Bellek limiti / 500 hata dalgalarıyla biten multipart POST'lar
- İnternete açık kalmışsa: DB parolası, API anahtarı, salt rotasyonu
Kaç sunucuda CLI ile web PHP sürümü farklı çıktı? Deneyiminizi yazın.
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar