PHP2Shell Güncellemesi: WordPress'te Hâlâ Doğrulanmış Bir Ele Geçirme Yok ve En Sık Sorulan Sorular
28 Ekim 2026 itibarıyla Wordfence, PHP2Shell üzerinden ele geçirilmiş bir WordPress sitesinden haberdar değil. PHP'yi düzeltilmiş bir sürüme güncelleyip yeniden başlatın; çünkü WordPress'i güncellemek PHP'yi güncellemez.
Özet: 28 Ekim 2026 itibarıyla Wordfence, PHP2Shell (CVE-2026-109618 ve CVE-2026-109619) üzerinden ele geçirilmiş herhangi bir WordPress sitesinden haberdar değil.
Koruduğumuz 5 milyondan fazla sitede PHP2Shell ile ilgili isteklerin geldiğini görmeye devam ediyoruz. Bu istekler, süregelen tarama ve istismar girişimlerini gösteriyor; girişimin başarılı olup olmadığını göstermiyor. Site temizleme ve olay müdahale ekiplerimiz, bu açıklara atfedilen bir WordPress ele geçirilmesiyle karşılaşmadı.
Bu, yamalanmamış bir sunucunun güvenli olduğu anlamına gelmez. Çözüm hâlâ aynı: sunucunuzdaki PHP'yi 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümüne (ya da her iki düzeltmeyi de içerdiği doğrulanmış bir dağıtıcı paketine) güncelleyin ve PHP'yi yeniden başlatın. WordPress'i güncellemek PHP'yi güncellemez.
PHP projesi PHP2Shell için acil düzeltmeleri yayımlayalı yedi gün oldu. PHP2Shell, WordPress'in üzerinde çalıştığı programlama dili PHP'deki iki kritik güvenlik açığıdır. O günden bu yana Wordfence'in koruduğu 5 milyondan fazla WordPress sitesinden gelen güvenlik verilerini analiz ettik, açıkları laboratuvarımızda test ettik ve araştırmacılardan ile güvenlik firmalarından gelen yeni raporları inceledik.
Bu yazı, güncel durumu sade bir dille özetliyor; ardından en sık duyduğumuz sorulara kısa ve net yanıtlar veriyor.