birsevda

Merhaba değerli forum üyeleri,

PHP kullanan sunucu yöneticilerini ve hosting hizmeti alan kullanıcıları yakından ilgilendiren önemli bir güvenlik uyarısını sizlerle paylaşmak istiyorum.

Paylaşılan teknik bilgilere göre, PHP'nin 5.4 ve sonraki sürümlerini etkilediği belirtilen kritik bir Uzaktan Kod Çalıştırma (RCE) güvenlik açığı gündeme gelmiştir. İstismar kodunun kamuya açık hâle geldiği ve resmi güvenlik güncellemesinin henüz yayımlanmadığı ifade edilmektedir.

ÖNEMLİ NOT: Açığın kapsamı ve etkileriyle ilgili bilgilerin resmî PHP güvenlik duyuruları üzerinden doğrulanması önemlidir. Aşağıdaki ayar, bildirilen geçici önlem kapsamında paylaşılmaktadır; tek başına sunucunun tamamen güvende olduğunu garanti etmez.



📌 GEÇİCİ GÜVENLİK ÖNLEMİ

Resmî bir düzeltme yayımlanana kadar, ilgili teknik bilgilendirmede aşağıdaki PHP ayarının devre dışı bırakılması önerilmektedir:

Bu ayar, PHP oturumlarının dosya yükleme ilerlemesini izleme özelliğini kapatır. Değişiklik yapılmadan önce mevcut yapılandırmanın yedeğinin alınmasını ve ayarın sunucudaki tüm ilgili PHP sürümlerinde kontrol edilmesini öneriyorum.



🛠️ KULLANILAN SUNUCU PANELİNE GÖRE YAPILMASI GEREKENLER

1. cPanel / WHM

WHM üzerinden MultiPHP INI Editor bölümüne girerek kullanılan PHP sürümlerinin ayarlarını kontrol edebilirsiniz. İlgili ayarı Off olarak düzenleyip kaydedin.

2. Plesk

Araçlar ve Ayarlar bölümündeki PHP ayarlarından ilgili sürümün yapılandırmasını kontrol edin. Değişiklik sonrasında gerekiyorsa PHP-FPM servisini yeniden başlatın.

3. aaPanel

App Store üzerinden kullanılan PHP sürümünün ayarlarına girerek Configuration File bölümündeki ilgili değeri kontrol edin. Ardından PHP servisini yeniden başlatın.

4. CWP (Control Web Panel)

PHP Settings veya PHP-FPM Selector bölümünden kullanılan PHP sürümlerini kontrol edin. Her sürümün kendi php.ini dosyasında ilgili ayarın Off olduğundan emin olun.

5. CloudPanel

Sites bölümünden ilgili siteyi seçip PHP Settings alanını kontrol edin. Site bazında yapılandırma kullanılıyorsa ayarın her ilgili site için uygulanması gerekebilir.

6. DirectAdmin

Kullanılan PHP sürümlerinin yapılandırma dosyalarını kontrol edin. Değişiklik sonrasında ilgili PHP servislerini yeniden başlatın.

7. HestiaCP

Sunucu yapılandırmasından kullanılan PHP sürümlerini kontrol edin. Sürüm bazlı yapılandırma dosyalarında ilgili ayarın kapalı olduğundan emin olun.

8. CyberPanel

PHP yapılandırma ekranından kullanılan sürümlerin ayarlarını kontrol edin. Değişikliklerin etkinleşmesi için gerekli servisleri yeniden başlatın.

9. Panelsiz Linux Sunucular

Sunucuda kurulu PHP sürümüne ve kullanılan servis türüne göre uygun yapılandırma dosyasına aşağıdaki satır eklenebilir:

Dosya yolları işletim sistemine, PHP paketine ve kurulum şekline göre değişebilir. Bu nedenle her sunucuda aynı dizinin kullanılacağını varsaymayın.



🔎 AYAR NASIL KONTROL EDİLİR?

SSH üzerinden aşağıdaki komutla CLI tarafındaki PHP yapılandırmasını kontrol edebilirsiniz:

Çıktıda aşağıdaki değerin görünmesi beklenir:

Dikkat: Bu komut yalnızca komut satırında kullanılan PHP yapılandırmasını gösterir. Web sitelerinin kullandığı PHP-FPM, LiteSpeed veya Apache yapılandırmasının da ayrıca kontrol edilmesi gerekir. Sunucuda birden fazla PHP sürümü bulunuyorsa her biri ayrı ayrı doğrulanmalıdır.



⚙️ HOSTING VE VPS/VDS KULLANICILARI NE YAPMALI?

Paylaşımlı hosting kullanıcıları:

Sunucu yönetimi hosting firmasındaysa öncelikle firmanızdan gerekli güvenlik kontrolünü yapmasını isteyin. Yapılandırma sunucu genelinde yönetiliyorsa işlemi hosting sağlayıcınız gerçekleştirmelidir.

VPS, VDS ve Dedicated sunucu kullanıcıları:

Sunucu yönetimi size aitse kurulu PHP sürümlerini ve ilgili yapılandırmaları kontrol etmeniz gerekir. İşlem öncesinde yedek alın ve değişikliklerin web tarafında da etkin olduğunu doğrulayın.



📢 SONUÇ VE ÖNERİLERİM

Sunucu güvenliğini riske atmamak için;

• PHP ve işletim sistemi güvenlik duyurularını takip edin.
• Kullandığınız tüm PHP sürümlerini kontrol edin.
• Değişiklik yapmadan önce yedek alın.
• Güncel olmayan PHP sürümlerini ve gereksiz servisleri gözden geçirin.
• Resmî güvenlik düzeltmesi yayımlandığında uyumlu güncellemeleri uygulayın.
• Şüpheli erişim kayıtlarını ve sunucu günlüklerini inceleyin.

Bu duyuruyu özellikle kendi sunucusunu yöneten, hosting hizmeti veren veya birden fazla WordPress/PHP sitesi işleten arkadaşların bilgilenmesi amacıyla paylaşıyorum.

Unutmayın: Güvenlik konusunda erken önlem almak, olası sorunların önüne geçmek açısından önemlidir. Ancak kesin bir açık doğrulaması ve çözüm değerlendirmesi için resmî PHP güvenlik açıklamalarını esas alın.

Herkese güvenli ve sorunsuz çalışmalar dilerim.