ZoomEye verileri, ömrü sona ermiş PHP 7.4'ü hâlâ duyuran 2,65 milyon host olduğunu gösteriyor

28 Ekim 2026'da dev.to üzerinde yayımlanan bir analiz, web'in yamalanamayan PHP açıklığına bir sayı veriyor: 2.650.830 host, kendisini PHP 7.4 olarak tanımlayan bir X-Powered-By başlığı döndürüyor — yakın zamanda açıklanan PHP2Shell kusuru için asla bir düzeltme almayacak, ömrü sona ermiş bir dal.

Ne ölçüldü

Yazar, 28 Ekim 2026'da ZoomEye internet arama indeksini sorguladı. app="PHP" için geniş bir arama 111.072.293 eşleşme döndürdü; bunların 22.706.573'ü 443 portundaydı. Runtime'ını açıkça belirten sunuculara daraltıldığında http.header="X-Powered-By: PHP" sorgusu 46.709.646 sonuç döndürdü.

Asıl dikkat çekici olanlar sürüme özgü sayılardır:

• X-Powered-By: PHP/7.4: 2.650.830 host
• X-Powered-By: PHP/8.1: 530.860 host
• X-Powered-By: PHP/8.2: 796.916 host

Gönderiye göre bu sıralama sezgilere aykırı. PHP 8.2, PHP2Shell yamasını almış, desteklenen bir dal; 7.4 ve 8.1 ise ömrünü tamamlamış durumda. Yine de asla yamalanmayacak dal, 8.2'den üç kattan fazla, 8.1'den ise kabaca beş kat fazla görünüyor.

Sayılar ne kadar güvenilir

dev.to gönderisi, yöntemin neyi göremediğini açıkça belirtiyor. X-Powered-By başlığı isteğe bağlıdır ve sağlamlaştırma kılavuzları yaklaşık on yıldır bunun kaldırılmasını öneriyor; dolayısıyla yukarıdaki her sayı bir toplam değil, bir alt sınırdır. Sürümünü gizleyen sunucular bu yaklaşım için görünmezdir.

Yazara göre bu kör nokta örneklemi belirli bir yönde çarpıtır: Sürümünü hâlа duyuran hostlar, ortalama olarak, daha az özenle bakılanlardır. Her şey göz önüne alındığında, sürümünü açıklayan sunucular arasındaki 7.4 hakimiyeti sorunun boyutunu olduğundan küçük gösteriyor.

Gönderi ayrıca host sayılarını kurum sayısı olarak okumamak konusunda uyarıyor. Tek bir paylaşımlı barındırma platformu, tek bir runtime derlemesinden yüz binlerce domaine hizmet verebilir; 111 milyon ve 46 milyon rakamlarının farklı toplulukları tarif etmesinin nedeni budur: ilki çoğunlukla bir web servisinin varlığına işaret ederken, ikincisi runtime'ını açıklamaya istekli bir alt kümeyi tanımlıyor.

PHP2Shell arka planı

Ekim 2026'daki açıklama, bir sürüm başlığının taşıdığı riski değiştiren şeydi. Gönderi dal durumunu şöyle özetliyor: PHP 8.1 ve öncesi kaynak kodu yamaları aldı ama resmi binary almadı; PHP 7.x ve altı hiçbir şey almadı. 7.4 duyuran bir host sadece yamalama gerisinde değil; o dalda erişilebilecek yamalı bir durum yok.

Tespit, sorunun diğer yarısı. Gönderi, CrowdStrike'ın bulgularını aktaran 22 Ekim 2026 tarihli bir FreeBuf raporuna dayanarak, PHP2Shell istismarının uygulamanın kendisinde görünür hiçbir iz bırakmadığını belirtiyor: worker çalışmaya devam ediyor, sunucu HTTP 200 yanıtı veriyor ve tek artefakt, web sunucusu günlüğündeki ölümcül bir bellek limiti hatası. Yazarın varışı noktasındaki sonucu sert: Bu günlük satırı için alarm üretmeyen hiçbir ortamın bu saldırı sınıfına dair hiçbir görünürlüğü yoktur.

Operatörler ne yapabilir

Yükseltilemeyen, ömrü tamamlanmış hostlar için gönderinin tarif ettiği yöntem kısa ve kendi itirafına göre popüler değil: hostu genel internetten çekin, trafiği sonlandıran ve inceleyen bir proxy'nin arkasına koyun ya da emekliye ayırın. Tedarikçi geri taşımalar (backport) boşluğun bir kısmını kapatıyor — cPanel ve CloudLinux, PHP paketleri için düzeltmeler yayımladı ve bu, paylaşımlı barındırmanın anlamlı bir kısmını kapsıyor — ama 2019'da birinin oluşturduğu bir sanal makinedeki özel bir derleme için hiçbir şey yapmıyorlar.

Varlık sahipleri için yazar, sorguyu içe çevirmeyi öneriyor: kendi adres alanınızı tarayın, başlıkları toplayın ve gerçekte kaç farklı runtime sürümü sunduğunuzu sayın. Ortamlar genellikle kimsenin beklemediğinden fazla sürüm barındırır; bunlar satın almalar, yan projeler, tedarikçi cihazları ve unutulmuş iç araçlar yoluyla birikmiştir.

Neden önemli

Bu sayı, genel web'in ne kadarının asla düzeltme yayımlanmayacak yazılımlar çalıştırdığına dair somut ölçümlerden biri ve 2,65 milyon bu açıklığın alt sınırı, tavanı değil. Ayrıca sürüm ifşasını yeniden çerçeveliyor: Her yanıtta tam sürümünü duyuran bir runtime, saldırganlara hedefleme kısayolu sunuyor; oysa sağlamlaştırma kontrol listeleri bu başlığı bir zamanlar önemsiz bir bilgi sızıntısı olarak görüyordu. Pratik ders, küresel sayıdan çok yerel envanterle ilgili — herhangi bir kurumu endişelendirmesi gereken rakam, kendi ortamındaki kaç runtime sürümünden kimsenin yükseltmekten sorumlu olmadığıdır. Kimlik doğrulaması öncesi bir runtime kusurunun saatler içinde çalışan bir istismara dönüştürülebildiği bir dönemde, kendi sürüm dağılımını bilmeyen bir operatör yavaş tepki verir ve asıl maliyet tam da bu gecikmededir.