Kısa cevap: PHP2Shell (CVE-2026-109618 ve CVE-2026-109619) açıkları duyurulduktan sonra dünya genelinde ve Türkiye’de çok sayıda site, yama uygulanana kadar erişime kapatıldı. Siteniz hosting firmanız ya da kendi ekibiniz tarafından kapatıldıysa, sırf açmak yetmez: önce yama ve geçici önlem, ardından saldırı izi kontrolü, en son doğrulanmış şekilde yeniden yayın gerekir. 360 Soft bu süreci aynı gün başlatıyor ve yazılı raporla tamamlıyor.
Siteler neden kapatıldı?
PHP2Shell açıkları yamalanmamış sunucularda giriş yapmadan kod çalıştırmaya izin verebiliyor ve araştırmacılar ilk istismar denemelerini bildirdi. Bu yüzden birçok kurum ve barındırma firması riskli siteleri geçici olarak kapattı. Türkiye’de Siber Güvenlik Başkanlığı 21 Ekim 2026’da kurumlara acil bildirim gönderdi; güvenli sürümlere geçilmesini, kritik PHP servislerine dış erişimin sınırlandırılmasını ve yurt dışı erişime ihtiyacı olmayan sistemlerin uluslararası trafiğe kapatılmasını önerdi.
Güvenli yeniden açma kontrol listesi
- PHP sürümü ve yama: Sunucudaki PHP paketinin yamalı olduğu hosting firmasından yazılı olarak teyit edilir. CloudLinux gibi sağlayıcılar yamayı sürüm numarasını değiştirmeden verebilir; bu yüzden paket sürümü ayrı olarak sorulur.
- Geçici önlemler: session.upload_progress ayarının kapatıldığı, WAF kurallarının güncel olduğu doğrulanır.
- İz kontrolü: Son günlerde değişen dosyalar, beklenmeyen PHP dosyaları, yeni yönetici hesapları, zamanlanmış görevler ve sunucu loglarındaki şüpheli istekler incelenir.
- Kimlik bilgileri: Şüphe varsa veritabanı şifresi, yönetici şifreleri, API anahtarları ve WordPress güvenlik anahtarları yenilenir.
- Yedek: Açmadan önce temiz durumun yedeği alınır.
- Yeniden yayın ve izleme: Site açılır, formlar, ödeme ve giriş akışları test edilir, ilk günler log ve trafik izlenir.
- Search Console: Kapanış süresince oluşan hatalar kontrol edilir, önemli sayfalar için dizine ekleme istenir.
Kapalı kalırken yapılması gerekenler
Site bakım süresince 503 (Service Unavailable) yanıtı vermeli ve kısa bir bilgilendirme sayfası göstermelidir. 404 ya da boş sayfa vermek arama motorlarında kalıcı sıralama kaybına yol açabilir. Müşterilerinize ve iş ortaklarınıza kısa bir duyuru yapmak, kişisel veri etkilendiyse KVKK kapsamındaki 72 saatlik bildirim süresini takip etmek de bu aşamanın parçasıdır.
Hangi sürümler güvenli?
Teknik ayrıntılar için PHP güvenlik açığı giderme, birden fazla site ya da sunucu için kurumsal PHP güvenlik denetimi, eski sürümler için PHP sürüm yükseltme ve firma seçimi için PHP güvenlik açığını hangi firma kapatır sayfalarına bakabilirsiniz.
Sık sorulan sorular
Hosting firmam siteyi kapattı, neden?
PHP2Shell açıkları duyurulduktan sonra bazı barındırma firmaları ve kurumlar, yamalanana kadar riskli siteleri erişime kapattı. Siber Güvenlik Başkanlığı da yurt dışı erişime ihtiyacı olmayan sistemlerin uluslararası trafiğe kapatılmasını önerdi. Kapatma çoğu zaman cezai değil, koruyucu bir önlemdir.
Siteyi bugün tekrar açsam olur mu?
Yama ve geçici önlemler uygulanmadan açılan site aynı risk altındadır. Kapalı kaldığı süre içinde saldırı denemesi olduysa arka kapı kalmış olabilir. Bu yüzden önce yama, sonra iz kontrolü, en son yeniden yayın yapılmalıdır.
Ne kadar sürer?
Güncel bir WordPress ya da Laravel sitesinde yama doğrulama, iz kontrolü ve yeniden yayın çoğunlukla aynı gün tamamlanır. Eski PHP sürümünde kalmış ya da saldırı izi bulunan sitelerde süre kapsama göre uzar; bunu ilk değerlendirmede yazılı olarak bildiriyoruz.
Arama sıralamam düşer mi?
Kısa süreli kesintilerde Google sıralaması genellikle geri gelir. Uzun kapanışlarda site 503 (bakım) yanıtı vermeli, 404 ya da boş sayfa vermemelidir. Yeniden açılışta Search Console üzerinden kontrol ve dizine ekleme isteği yapıyoruz.
Sitemi yeniden açtırmak istiyorum
Sitenizin adresini, ne zamandan beri kapalı olduğunu, hosting firmanızı ve altyapınızı (WordPress, Laravel, özel PHP vb.) yazın. Talebiniz mesai dışında da ekibe iletilir. NDA gerekiyorsa ilk görüşmeden önce imzalıyoruz.
Talebiniz bize ulaştı.
24 saat içinde kapsam, takvim ve fiyat içeren yazılı teklifi e-posta adresinize gönderiyoruz.
Kaynaklar: Siber Güvenlik Başkanlığı açıklaması (21 Ekim 2026), PHP güvenlik duyurusu, TRT Haber ve Diken haberleri (21-22 Ekim 2026). Güncelleme: 22 Ekim 2026.