Opens in a new tab

WordPress’te PHP sürümü: nasıl kontrol edilir ve güncellenir

Ville Rontti·26.10.2026·0 comments

WordPress PHP üzerinde çalışır ve sitenin hâlâ güvenlik düzeltmesi alıp almadığını PHP sürümü belirler. Ekim 2026’da PHP’de, yalnızca PHP güncellenerek giderilebilen iki kritik güvenlik açığı bulundu. WordPress’i güncellemek işe yaramadı. Bu rehberde PHP sürümünü birkaç dakikada nasıl kontrol edeceğinizi, hangi sürümün güvenli olduğunu ve güncellemeyi siteyi bozmadan nasıl yapacağınızı bulacaksınız.

PHP2Shell: PHP sürümü neden şimdi önemli

PHP, 21 Ekim 2026’da PHP2Shell adı verilen iki kritik güvenlik açığı (CVE-2026-109618 ve CVE-2026-109619) için düzeltmeler yayımladı. İkisinin de önem derecesi 9,2/10 (CVSS 4.0). En kötü durumda saldırgan, oturum açmadan sunucuda kendi komutlarını çalıştırabilir. mod_php kullanan Apache kurulumlarında saldırı, WordPress kodu hiç çalışmadan önce başlayabilir.

Açıklar, her PHP dalında düzeltme sürümünden önceki tüm sürümleri etkiliyor. Düzeltme sürümleri şunlar: 8.2.35, 8.3.36, 8.4.27 ve 8.5.12. PHP 8.1 ve daha eski sürümler PHP projesinden artık güncelleme almıyor. PHP 23 Ekim’de üçüncü bir açığı (CVE-2026-115560) daha duyurdu. Bu açığın istismarı, ayarlar ile uygulama kodunun nadir görülen bir birleşimini gerektiriyor ve bir sonraki olağan sürümde düzeltilecek.

Finlandiya Ulusal Siber Güvenlik Merkezi’ne (NCSC-FI) göre 21 Ekim itibarıyla açıkların aktif olarak istismar edildiğine dair bilgi yoktu, ancak çalışan örnek kodlar zaten vardı. Bu yüzden durum hızla değişebilir.

PHP için yılda birkaç kez güvenlik düzeltmesi yayımlanır, ancak bunları yalnızca desteklenen sürüm dalları alır. Her dal yaklaşık dört yıl boyunca düzeltilir; bundan sonra bulunan açıklar kapatılmaz. Bu yüzden PHP sürümünü yalnızca bir açık haberlere çıktığında değil, düzenli olarak kontrol etmekte fayda var.

PHP sürümü nasıl kontrol edilir

WordPress yönetim panelinden

  1. WordPress’e yönetici olarak giriş yapın.
  2. Soldaki menüden Araçlar → Site sağlığı sayfasını açın (İngilizce WordPress’te: Tools → Site Health).
  3. Bilgiler (Info) sekmesini, ardından Sunucu (Server) bölümünü açın.
  4. PHP sürümü (PHP version) satırında tam sürüm numarası görünür, örneğin 8.3.36.

Numaranın tamamına bakın. Dal (8.3) sürümün hâlâ desteklenip desteklenmediğini, son sayı (36) ise en yeni düzeltmenin kurulu olup olmadığını gösterir. Sürüm eskiyse WordPress, Başlangıç sayfasında PHP güncellemesi gerekli uyarısını da gösterir. Yine de uyarıyı beklemeyin, numarayı kendiniz kontrol edin.

Hosting kontrol panelinden

Çoğu hosting firmasında PHP sürümü kontrol panelinden görülebilir ve değiştirilebilir. cPanel’de bu bölümün adı genellikle MultiPHP Manager veya Select PHP Version olur; Plesk’te ise her alan adının PHP ayarlarında bulunur. Bulamazsanız hosting firmanıza sitenizin hangi PHP sürümünü kullandığını ve Ekim 2026 düzeltmesinin kurulu olup olmadığını sorun.

Sunucudan (yöneticiler için)

Kendi sunucunuzda php -v komutu, komut satırındaki PHP’nin sürümünü gösterir. Siteyi aynı PHP çalıştırmıyor olabilir, çünkü web sunucusu PHP-FPM veya Apache modülü üzerinden farklı bir sürüm kullanabilir. En güvenilir bilgi WordPress’in Site sağlığı ekranındadır.

Debian, Ubuntu ve Red Hat gibi Linux dağıtımları düzeltmeleri çoğu zaman sürüm numarasını değiştirmeden kendi paketlerine aktarır. Yani numara eski görünse de düzeltme kurulu olabilir. Böyle bir durumda paketin değişiklik günlüğünde CVE kimliklerinin geçip geçmediğine bakın.

Hangi PHP sürümü güvenli?

Güvenli bir sürüm iki koşulu karşılar: sürüm dalı hâlâ güvenlik düzeltmesi alır ve sunucuda dalın en yeni düzeltme sürümü kuruludur. Ekim 2026 itibarıyla durum şöyle:

PHP dalı Güvenlik desteğinin sonu PHP2Shell’in düzeltildiği sürüm
8.5 31.12.2029 8.5.12
8.4 31.12.2028 8.4.27
8.3 31.12.2027 8.3.36
8.2 31.12.2026 8.2.35
8.1 ve daha eski sona erdi (8.1: 31.12.2025, 7.4: 28.11.2022) resmî sürüm yok

WordPress, PHP 8.3 veya daha yenisini önerir. PHP 7.4’te hâlâ çalışır, ancak wordpress.org eski bir sürümün siteyi güvenlik sorunlarına açık hâle getirebileceği konusunda uyarır. PHP 8.2’nin desteği 2026 sonunda bitiyor. Siteniz bu sürümü kullanıyorsa 8.3’e veya 8.4’e geçişi şimdiden planlayın.

PHP güvenlik ekibi 7.4, 8.0 ve 8.1 sürümleri için PHP2Shell düzeltmesini yalnızca kaynak kod olarak, PHP’yi kendisi derleyenler için yayımladı. Bazı Linux dağıtımları ve hosting firmaları eski sürümler için kendi düzeltilmiş paketlerini hazırlıyor. Yine de kalıcı çözüm, desteklenen bir sürüme geçmektir.

PHP nasıl güncellenir

Hosting hizmetinde

Aynı daldaki düzeltmeleri (örneğin 8.3.35 → 8.3.36) genellikle hosting firması kurar. Dal değişikliğini (örneğin 8.1 → 8.3) ise çoğunlukla kontrol panelinden kendiniz yaparsınız. Adımlar şöyle:

  1. Dosyaların ve veritabanının yedeğini alın. Birçok hosting firmasında bunu kontrol panelinden yapabilirsiniz.
  2. WordPress’i, temaları ve eklentileri güncelleyin. Eski bir eklenti veya tema, sitenin PHP güncellemesinde bozulmasının yaygın bir nedenidir.
  3. Hosting firmanız bir test ortamı (staging) sunuyorsa önce bir kopyada test edin.
  4. Kontrol panelinden PHP sürümünü değiştirin.
  5. Siteyi gözden geçirin: ana sayfa, formlar, online mağazanın ödeme sayfası ve yönetim paneli. Yeni sürümün kullanımda olduğunu Site sağlığı ekranından kontrol edin.

Bir şey bozulursa kısa süreliğine önceki sürüme dönün, sorunlu eklentiyi düzeltin ya da değiştirin ve tekrar deneyin. Eski sürümde kalmak iyi bir fikir değil.

Kendi sunucunuzda

  • Dağıtımın güncellenmiş PHP paketlerini kurun (örneğin apt upgrade veya dnf upgrade) ya da düzeltilmiş sürümü derleyin.
  • PHP-FPM’i, Apache’yi ve arka plan işleri gibi PHP çalıştıran diğer süreçleri yeniden başlatın. Düzeltme ancak bundan sonra devreye girer.
  • Site bir konteynerde çalışıyorsa düzeltilmiş PHP’yi temel alan yeni bir imaj oluşturun ve devreye alın.
  • Son olarak sürümü Site sağlığı ekranından kontrol edin.

Güncelleme hemen yapılamıyorsa

PHP’ye göre tek tam çözüm güncellemedir. Güncelleme gecikirse sunucu yöneticisi, PHP’nin güvenlik bildirimlerinde önerilen ayarlarla riski azaltabilir. Hosting hizmetinde bu ayarlara genellikle hosting firması karar verir.

  • session.upload_progress.enabled=0, CVE-2026-109619 ve CVE-2026-115560 açıkları için doğrulanmış saldırı yöntemlerini engeller. PHP’ye göre bu özelliğe ihtiyaç yoksa ayar güncellemeden sonra da kapalı tutulmalıdır.
  • PHP 8.5’te fatal_error_backtraces=0, doğrulanmış ikinci bir saldırı yöntemini ortadan kaldırır.

Bu iki ayardan hiçbiri CVE-2026-109618 açığına karşı koruma sağlamaz. Ayarlar size zaman kazandırabilir, ancak güncellemenin yerini tutmaz.

Sık sorulan sorular

WordPress PHP’yi otomatik olarak günceller mi?
Hayır. WordPress kendini günceller, ancak PHP bir sunucu yazılımıdır ve onu hosting firması ya da sunucu yöneticisi günceller. Bu yüzden WordPress güncellemesi PHP2Shell açıklarını kapatmaz.

WordPress için hangi PHP sürümünü seçmeliyim?
WordPress, PHP 8.3 veya daha yenisini önerir. Ekim 2026 itibarıyla 8.3 ve 8.4 iyi seçeneklerdir; yeter ki en yeni düzeltme kurulu olsun ve eklentiler sürümü desteklesin.

PHP güncellemesi siteyi bozar mı?
8.3.35 → 8.3.36 gibi aynı daldaki bir düzeltme sürümü nadiren bir şeyi bozar. Dal değişikliği eski bir eklentiyi veya temayı bozabilir. Bu yüzden yedek alın ve önce test edin.

PHP 7.4 hâlâ güvenli mi?
Hayır. Güvenlik desteği 28 Kasım 2022’de sona erdi. WordPress 7.4’te hâlâ çalışır, ancak wordpress.org eski bir sürümün siteyi güvenlik sorunlarına açık hâle getirebileceği konusunda uyarır.

Hosting firmamın PHP2Shell düzeltmesini kurup kurmadığını nasıl anlarım?
Site sağlığı ekranında PHP sürümünün tam numarasına bakın ve yukarıdaki tabloyla karşılaştırın. Numara daha küçükse hosting firmanıza düzeltmenin kendi paketlerinde olup olmadığını sorun.

PHP güncellemesi bir eklentiyi bozarsa ya da sitenizin bakımı için birine ihtiyacınız varsa bizimle iletişime geçin. WordPress ve PHP uygulamalarının güncellenmesinde yardımcı oluyoruz.

Kaynaklar

Ville Rontti

Related posts