WordPress Sitelerinde PHP2Shell Açıkları Ne Kadar Riskli?
WordPress.com'da PHP2Shell açıkları kapatıldı ama kendi barındırmalı sitelerde hâlâ riskli. Güvenlik analiz ve karşılaştırma detaylı.
Hızlı Özet
Özet: WordPress.com'da PHP2Shell açıkları kapatıldı fakat kendi barındırmalı sitelerde bu güvenlik açığı hâlâ aktif olabilir. Bu açıklar, yöneticilerin PHP yorumlayıcı yetkilerini açması sonucu oluşur. Yöneticinin kendi barındırmalı sunucuda bu yetkiyi kapatması gerekir, aksi takdirde hackerlar shell erişimi elde edebilir.
PHP2Shell Açıkları Nedir ve Nasıl Çalışır?
PHP2Shell açıkları, web sunucularında PHP dosyaları üzerinde yürütme yetkisi verilmişse, bir saldırganın doğrudan PHP kodlarını çalıştırmasına olanak sağlar. Bu, genellikle php.ini dosyasında allow_url_include veya enable_dl gibi ayarların yanlış yapılandırılmasıyla oluşur. Bu tür açıkların sonucunda, saldırganlar doğrudan bir shell komut satırı erişimi elde edebilir.
PHP2Shell Açıklarının Tehlikeleri
WordPress Barındırma Tipleri ve Güvenlik Karşılaştırmaları
| Kriter | WordPress.com | Kendi Barındırmalı | /en-iyi-wordpress-hosting](/en-iyi-wordpress-hosting) |
|---|---|---|---|
| PHP Yürütme Yetkisi | Otomatik olarak devre dışı bırakılır | Yönetici kontrolüne bırakılır | |
| Otomatik Güncellemeler | Etkin ve zorunludur | Manuel veya otomatik yapılandırılabilir | |
| Güvenlik Duvarı (WAF) | Etkin, OWASP kuralları dahil | Varsa etkin, yoksa açık sistem | |
| PHP2Shell Açıkları | Kapatılmış ve izleniyor | Sadece yönetici kapatırsa güvenli |
PHP2Shell Açıklarını Nasıl Tespit Edebilirim?
Aşağıdaki yöntemleri kullanarak kendi WordPress sitenizi kontrol edebilirsiniz:
ssh [email protected]php -i | grep allow_url_includeallow_url_include ve enable_dl ayarlarının Off olması gerekir.php_flag engine off komutu ile PHP yorumlayıcısı devre dışı bırakılabilir.Güvenli Barındırmaya Geçim Önerileri
Eğer kendi barındırmalı bir WordPress sitesi kullanıyorsanız, aşağıdaki adımları izleyebilirsiniz:
php_flag engine off komutu ile PHP yorumlayıcıyı devre dışı bırakın.allow_url_include, enable_dl, allow_exec gibi ayarları Off yapın.PHP2Shell Açıkları Neden Hâlâ Barındırmalı Sitelerde Var?
WordPress.com gibi kurumsal barındırmalar, güvenlik kurallarını otomatik olarak yönetir. Fakat kendi barındırmalı sistemlerde bu ayarlar genellikle yöneticinin kontrolüne bırakılır. Yöneticiler bu ayarları yanlış yapılandırırsa, PHP2Shell açıkları hâlâ bir tehdit olur.
PHP2Shell Açıklarını Kapatmanın Maliyeti ve Zorlukları
| Kriter | WordPress.com | Kendi Barındırmalı |
|---|---|---|
| Otomatik Güvenlik | Etkin | Manuel yapılandırma gerekir |
| PHP Ayarları | Sistem tarafından yönetilir | Yönetici tarafından yapılandırılır |
| Maliyet | Ücretsiz veya temel planlar | Ücretli ve teknik bilgi gerektirir |
| Uygun Kullanım Alanı | Kişisel blog ve küçük siteler | Kurumsal ve yüksek güvenlik gerektiren siteler |
Sık Sorulan Sorular
1. PHP2Shell açıkları kendi sunucumda var mı?
php -i | grep allow_url_include komutunu çalıştırarak kontrol edebilirsiniz. Off olması gerekir.
2. WordPress.com'da bu açıklar nasıl kapatılır?
WordPress.com, bu ayarları otomatik olarak yönetir. Kullanıcılar özel yapılandırma yapamaz.
3. PHP2Shell açıkları sadece WordPress'te mi var?
Hayır. Herhangi bir PHP tabanlı sistemde, PHP yorumlayıcı yetkisi verilmişse bu açıklar mevcut olabilir.
4. Kendi sunucuda PHP yorumlayıcı yetkisini nasıl kapatırım?
.htaccess dosyasına php_flag engine off komutunu ekleyerek PHP yorumlayıcıyı devre dışı bırakabilirsiniz.
Sonuç
PHP2Shell açıkları, barındırmalı WordPress sitelerinde hâlâ aktif olabilir. Bu açıklar, saldırganların doğrudan shell erişimi elde etmesine olanak sağlar. Yöneticilerin bu ayarları kapatması ve OWASP kurallarına uygun bir yapılandırma yapması gerekir. Güvenli bir barındırmaya geçmek, bu tür açıkları tamamen ortadan kaldırmak için en etkili yoldur.
Uzman Değerlendirmesi
Doğru barındırma altyapısını belirlerken sadece ilk satın alma indirimlerine değil; yenileme maliyetlerine, gerçek NVMe disk IOPS değerlerine ve Türkiye çıkışlı gecikme sürelerine dikkat edilmelidir. Tarafsız sağlayıcı karşılaştırmaları ve güncel fiyat analizleri için /hosting-fiyatlari-2026 ve /en-ucuz-vds-sunucu tablolarımızı inceleyebilirsiniz.