WooCommerce PHP Güvenlik Güncellemesi: Sürüm, Yedek ve Geri Dönüş

PHP projesi 21 Ekim 2026'da PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. Bu sürümler iki kritik güvenlik açığını kapatır ve PHP projesi bütün kullanıcılarına hemen güncellemeyi önerir. Açıklar WordPress'e ya da WooCommerce'e değil, sunucudaki PHP'ye aittir; güncellenecek olan eklenti değil, mağazanın çalıştığı PHP sürümüdür. Barındırmasını kendisi yöneten bir WooCommerce mağazası önce kullandığı PHP sürümünü bulur, dosyaları ve veritabanını yedekler, değişikliği hazırlama (staging) sitesinde dener, ardından canlı sitede PHP'yi yamalı sürüme geçirir ve ödeme adımını yeniden sınar.

Bu yazı, sunucusunu ya da barındırma (hosting) hesabının PHP ayarını kendisi yöneten WordPress ve WooCommerce mağazaları içindir. Altyapı firmasının barındırdığı hazır e-ticaret altyapıları bu yazının konusu değildir.

Adım	Ne Yapılır
Sürümü Bulun	WordPress'te Site Health, WooCommerce'te Status ekranındaki PHP sürümü satırı okunur
Yamalı Sürümü Belirleyin	Kullanılan dala göre 8.5.12, 8.4.27, 8.3.36 ya da 8.2.35
Yedek Alın	Dosyalar ve veritabanı ayrı ayrı yedeklenir
Hazırlama Sitesinde Deneyin	Ödeme, kargo, vergi, sipariş ve zamanlanmış görevler denenir
Canlıda Değiştirin	PHP, barındırma panelinden ya da barındırma firması aracılığıyla değiştirilir
Kontrol Edin	WooCommerce durum ekranı, fatal-errors kaydı ve kritik işlemler yeniden kontrol edilir
Geri Dönüş	Müşteriler ödeme adımından uzak tutulur, önceki PHP sürümüne dönülür, gerekirse yedek geri yüklenir

21 Ekim 2026'da yayımlanan PHP güvenlik sürümleri

PHP projesi 21 Ekim 2026'da desteklenen dört sürüm dalı için güvenlik sürümü yayımladı: 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Duyurunun başlığı açıkları "kritik" diye niteler ve güncellemenin hemen yapılmasını ister. Açıklar CVE-2026-109618 ve CVE-2026-109619 numaralarıyla kayıtlıdır. İkisinin de önem derecesi kritiktir (CVSS v4 puanı 9,2); saldırı ağ üzerinden, oturum açmadan ve kullanıcının bir şey yapmasına gerek kalmadan denenebilir.

Teknik ayrıntı sade bir dille şöyledir. Birinci açıkta PHP, bellek yetmediğinde isteği yarıda keserken isteğin verisi henüz tam hazırlanmamış olabilir; ardından yapılan temizlik bu yarım veriyi geçerli sayabilir. İkinci açıkta bir isteğe ait iç bilgiler, istek bittikten sonra da bellekte kalır ve aynı sunucu işleminin karşıladığı bir sonraki istek bu artığı kullanabilir. PHP'nin duyurusu iki açığın da kimlik doğrulaması olmadan uzaktan kod çalıştırmaya izin verebileceğini yazar.

Duyuruya göre web isteği karşılayan bütün PHP kurulumları risk altındadır; PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed bunların arasında sayılır. Risk en çok Apache mod_php'de görülür: PHP ekibi bu kurulumda, uygulama kodu çalışmadan önce oturum açmamış bir istekle tetiklenen bir saldırının gösterildiğini belirtir. Mağazanızın hangi kurulumla çalıştığını bilmiyorsanız barındırma firmanıza sorun.

WordPress ve WooCommerce yayımladıkları duyurularda açıkların kendilerine özgü olmadığını, PHP çalıştıran her sunucuyu etkilediğini yazdı. İki duyuruya göre bu açıklar için WordPress ya da WooCommerce güncellemesi gerekmez ve planlanmamıştır. Barındırma firmanız PHP'yi güncelliyor ve web uygulaması güvenlik duvarı (WAF) kuralları ekliyor olabilir; WooCommerce yine de güncellemenin yapıldığını firmadan teyit etmenizi ister. WooCommerce'in duyurusu, Automattic'in kendi altyapısında (WordPress.com, WordPress VIP, Pressable, WP Cloud) barındırılan mağazaların zaten korunduğunu da belirtir.

WooCommerce mağazanızda kullanılan PHP sürümünü bulma

PHP sürümü WordPress yönetim panelinde iki yerde görünür. Birincisi WordPress'in kendi ekranıdır: Tools > Site Health > Info sekmesinde Server bölümünü açtığınızda "PHP version" satırında yazar. Yönetim paneliniz Türkçeyse menü adları çeviriyle görünür; WordPress'in çeviri kayıtlarında bu yol "Araçlar > Site sağlığı > Bilgiler > Sunucu", satır ise "PHP sürümü" olarak geçer.

İkincisi WooCommerce'in sistem durumu ekranıdır: WooCommerce > Status sayfasında aşağıdaki "Server environment" bölümünde "PHP version" satırı bulunur. Bu sayfa doğrudan alanadiniz.com/wp-admin/admin.php?page=wc-status adresinden de açılır. Birçok barındırma firması PHP sürümünü kendi kontrol panelinde de gösterir.

Gördüğünüz numaranın tamamına bakın. Örneğin 8.3 dalında 8.3.36 ve üstü yamalıdır; 8.3.35 ya da daha eski bir 8.3 sürümü yamasızdır. Site Health, sitenin PHP sürümü önerilenin altındaysa "PHP Update Required" ya da "PHP Update Recommended" uyarısı da gösterebilir.

PHP sürümleri ve güvenlik desteğinin bitiş tarihleri

PHP projesi her sürüm dalını ilk kararlı sürümünden itibaren iki yıl tam destekler; bu sürede hata ve güvenlik düzeltmeleri düzenli olarak çıkar. Sonraki iki yılda dal yalnızca kritik güvenlik sorunları için, ihtiyaç oldukça yayımlanan sürümlerle desteklenir. Dört yıl dolunca dal yaşam sonuna ulaşır ve PHP projesinden güncelleme almaz.

Sürüm Dalı	21 Ekim 2026 Güvenlik Sürümü	Güvenlik Desteğinin Sonu
PHP 8.5	8.5.12	31.12.2029
PHP 8.4	8.4.27	31.12.2028
PHP 8.3	8.3.36	31.12.2027
PHP 8.2	8.2.35	31.12.2026
PHP 8.1	Yayımlanmadı	Yaşam Sonu (31.12.2025)
PHP 8.0	Yayımlanmadı	Yaşam Sonu (26.11.2023)
PHP 7.4	Yayımlanmadı	Yaşam Sonu (28.11.2022)

PHP 8.2'nin güvenlik desteği 31.12.2026'da biter. 8.2.35'e geçen mağaza 21 Ekim'de duyurulan açıklara karşı yamalıdır, ancak bu tarihten sonra 8.2 dalı için yeni güvenlik sürümü çıkmaz. 8.2 kullanan mağaza bu yüzden yamanın yanında 8.3 ya da daha yeni bir dala geçişi de planlar.

PHP 8.1 ve daha eski sürümler PHP projesinden güncelleme almaz. PHP'nin duyurusuna göre bazı Linux dağıtımları ve uzun süreli destek (LTS) sağlayıcıları düzeltmeleri bu sürümlere kendileri taşır; PHP güvenlik ekibi de PHP'yi kaynak koddan derleyenler için 7.4, 8.0 ve 8.1 dallarına asgari kaynak düzeltmeleri yayımladı. Bu sürümlerden birini kullanıyorsanız sağlayıcınıza paketin düzeltmeyi içerip içermediğini sorun; kalıcı çözüm desteklenen bir dala geçmektir.

WordPress ve WooCommerce için asgari ve önerilen PHP sürümü

WordPress ve WooCommerce, PHP 8.3 ve üstünü önerir. WordPress çekirdeği PHP 7.4'ten itibaren çalışır, ancak WordPress'in gereksinim sayfası 7.4 gibi eski sürümlerin resmî yaşam sonuna ulaştığını ve siteyi güvenlik açıklarına açık bırakabileceğini yazar. WooCommerce'in WordPress eklenti dizinindeki güncel sürümü 11.2.1 de en düşük PHP 7.4 ister.

WooCommerce'in sunucu önerileri sayfası PHP 8.3 ve üstünü önerir ve PHP 8.4'e kadar test edildiğini belirtir. WordPress'in uyumluluk tablosu ise WordPress 7.0 ve 7.1'i PHP 7.4'ten 8.5'e kadar uyumlu sayar; bu tablo WooCommerce'i ve mağazanızdaki eklentileri kapsamaz.

WooCommerce'in asgari PHP sürümü de yükseliyor. WooCommerce geliştirici blogunun 29.09.2026 tarihli kararına göre şu adımlar planlıdır:

• WooCommerce 11.3: 9 Kasım 2026 haftasında çıkması planlanan sürüm, PHP 7.4 ya da 8.0 kullanan mağazalara kapatılabilir bir yönetici bildirimi ekleyecek; mağaza bu sürümle çalışmaya devam edecek.
• WooCommerce 11.5: PHP 7.4 ve 8.0 ile uyumlu son planlı sürümdür.
• WooCommerce 11.6: Şubat 2027'de çıkması planlanan sürüm PHP 8.1 ve üstünü gerektirecek; WooCommerce 8.1'i asgari, 8.3 ve üstünü öneri olarak yazar.

Gereksinimi karşılamayan sunucuda WordPress yeni WooCommerce sürümünü sunmaz; mağaza kapanmaz, PHP de kendiliğinden yükseltilmez. Eski sürümde kalmak ise geçici bir yoldur: WooCommerce'in güvenlik yaması politikasına göre CVSS puanı 9 ve üstü olan açıkların düzeltmesi son 21 ana sürüme taşınır, diğer düzeltmeler genellikle yalnızca son sürüme gelir. WooCommerce, PHP 7.4 ve 8.0'da kalan mağazada eklentiye gelen bir yamanın PHP'nin kendi risklerini gidermeyeceğini de hatırlatır.

Güncellemeden önce yedek, hazırlama sitesi ve uyumluluk denetimi

WordPress yedeği iki parçadan oluşur ve tam geri yükleme için ikisi de gerekir. Birincisi dosyalardır: WordPress çekirdeği, tema ve eklentiler, yüklenen görseller, wp-config.php ve .htaccess. İkincisi veritabanıdır; ürünler, siparişler ve mağaza ayarları burada durur. Veritabanı ayrı bir sistemde çalıştığı için WordPress klasörünü indirmek onu yedeklemez; veritabanının .sql gibi bir dışa aktarma dosyası ayrıca alınır.

WordPress'in PHP güncelleme sayfası, yedeği geri yüklemeniz gerekirse barındırma firmasının PHP'yi de eski sürüme döndürmesi gerektiğini hatırlatır. Yedeği aldığınız andaki PHP sürümünü bu yüzden not edin.

Hazırlama sitesi, canlı mağazanın müşteriler görmeden değişiklik denenen kopyasıdır. WooCommerce bu kopyanın barındırma firması aracılığıyla ya da yedeğin ayrı bir WordPress kurulumuna geri yüklenmesiyle oluşturulabileceğini yazar ve güncellemelerin doğrudan canlı sitede denenmemesini ister.

PHP'yi değiştirmeden önce hazırlama sitesinde şu sırayı izleyin:

1. WordPress, Tema ve Eklentiler: Önce bunları güncelleyin ve sitenin çalıştığını görün; WordPress'in önerdiği sıra budur.
2. Uyumluluk Taraması: WordPress'in önerdiği PHP Compatibility Checker eklentisiyle tema ve eklentileri tarayın; tarama her sorunu yakalamayabilir, yanlış uyarı da verebilir.
3. Ödeme ve Kargo Eklentileri: Her eklentinin istediği en düşük PHP sürümünü eklentinin WordPress.org sayfasında okuyun.
4. Hata Kaydı: Hazırlama sitesinde wp-config.php dosyasına WP_DEBUG ve WP_DEBUG_LOG değerlerini true, WP_DEBUG_DISPLAY değerini false olarak ekleyin; hatalar ekranda görünmeden wp-content/debug.log dosyasına yazılır. WordPress bu ayarın canlı sitede kullanılmamasını önerir.
5. PHP Değişikliği: Hazırlama sitesinin PHP sürümünü canlıda kullanacağınız sürüme geçirin.

Sorun çıkarsa tema ya da eklenti geliştiricisine yazın; yanıt alamazsanız aynı işi gören başka bir eklentiye bakın. WooCommerce güncellemesinden sonra tema şablonlarıyla ilgili bir uyarı görürseniz nedeni WooCommerce eski tema şablonu uyarısı maddesinde anlatılır.

Hazırlama sitesinde denenecek mağaza işlemleri

WooCommerce, PHP değişikliğinden sonra hazırlama sitesinde şu işlemlerin denenmesini ister:

• Ödeme: Ödeme yöntemleri ve ödeme adımı (checkout) baştan sona denenir.
• Kargo ve Vergi: Sepette kargo ve vergi tutarlarının hesaplandığı görülür.
• Sipariş Yönetimi ve E-Postalar: Deneme siparişinin yönetim panelinde göründüğü ve sipariş e-postalarının gittiği kontrol edilir.
• Ürün Sayfası ve Sepet: Ürün sayfalarının açıldığı ve ürünlerin sepete eklendiği görülür.
• Zamanlanmış Görevler: Belirli aralıklarla arka planda çalışan işlerin durmadığı kontrol edilir.
• Tema, Eklentiler ve Özel Kod: Eklentilere özgü özellikler ve mağazaya özel yazılmış kod parçaları denenir.

PHP yükseltmesi eklentinin, temanın ya da özel kodun çalışacağını garanti etmez. WooCommerce'in kendi pazaryerindeki eklentileri tarayarak yaptığı inceleme de belirli bir mağazanın eklenti ve entegrasyonları için güvence değildir; bu denemeler bu yüzden atlanmaz.

Canlı sitede PHP güncelleme sırası

Hazırlama sitesinde sorun çıkmadıysa aynı değişiklik canlı mağazaya uygulanır. PHP sunucuda kurulu olduğu için WordPress panelinden değil, barındırma firmasının kontrol panelinden ya da firmanın kendisi aracılığıyla değiştirilir. WordPress.org, barındırma firmalarının PHP güncelleme yönergelerini bir listede toplar ve firmaya gönderilebilecek hazır bir istek metni de yayımlar.

1. Yeni Yedek: Değişiklikten hemen önce dosyaların ve veritabanının yeni bir yedeğini alın.
2. PHP Sürümü: PHP'yi hazırlama sitesinde denediğiniz yamalı sürüme geçirin. PHP'yi işletim sisteminin paketlerinden kuruyorsanız dağıtımınızın güncel paketinin düzeltmeyi içerdiğini sağlayıcıdan kontrol edin.
3. Durum Ekranı: WooCommerce > Status ekranında PHP sürümünün değiştiğini görün.
4. Kritik İşlemler: Ödeme, sipariş ve kargo adımlarını canlı sitede yeniden deneyin.
5. Hata Kaydı: WooCommerce > Status > Logs sekmesinde fatal-errors kaydına bakın; ölümcül hatalar bu kayda düşer, ödeme eklentisinin kaydı ise eklentinin kendi ayarından ayrıca açılır.

Hata kaydı boş görünüyorsa bunun her zaman hatasız bir mağaza anlamına gelmediği WooCommerce hata kayıtları neden boş görünür maddesinde anlatılır. WordPress, WooCommerce ve eklenti güncellemelerini PHP değişikliğiyle aynı anda yapmayın; WooCommerce, hazırlama sitesinde birlikte denenmedikçe birden çok büyük güncellemenin aynı anda çalıştırılmamasını ister. Bir güncellemeden sonra "Update WooCommerce Database" bildirimi çıkarsa onu da yalnızca güncel bir yedek varken çalıştırın.

Sorun çıkarsa geri dönüş planı

Geri dönüş planı güncellemeden önce yazılır: kimin, hangi panelden, hangi PHP sürümüne döneceği ve yedeğin nereden geri yükleneceği belli olur. Canlıda bir şey beklendiği gibi çalışmazsa WordPress ve WooCommerce belgelerindeki sıra şöyledir:

1. Ödeme Adımı: Müşterileri ödeme adımından uzak tutun.
2. Önceki PHP Sürümü: PHP'yi önceki sürüme döndürün ya da barındırma firmanızdan döndürmesini isteyin.
3. Yedek: Gerekirse yedeği geri yükleyin ya da firmanızdan geri yüklemesini isteyin.
4. Hazırlama Sitesi: Değişikliği yeniden denemeden önce sorunu hazırlama sitesinde giderin.

Geri dönerken de 21 Ekim'de yamalanan sürümlerden birinde kalın. Örneğin 8.3.36'dan 8.4.27'ye geçişte bir eklenti sorun çıkardıysa 8.3.36'ya dönülür; yamasız bir 8.3 sürümüne dönmek kapatılan iki açığı geri getirir.

PHP hemen güncellenemiyorsa alınabilecek geçici önlemler

PHP'nin duyurusu tam çözümün yalnızca güncelleme olduğunu yazar. Duyurudaki geçici önlemler belirli saldırı yollarını daraltır ama kurulumu güvenli hâle getirmez. Bu ayarlar sunucunun yapılandırmasında yapılır; sunucuyu yöneten kişi ya da barındırma firması uygular:

• Bellek Sınırı: memory_limit değeri -1 yapılır; ayar uygulamanın değiştiremeyeceği bir yerde, örneğin FPM havuzunda ya da Apache yapılandırmasında php_admin_value ile verilir.
• İstek Boyutu: post_max_size düşürülür; duyuru dosya yüklemesi olmayan uygulamalar için 8M, olanlar için 32M önerir ve upload_max_filesize bunun altında kalır. Web sunucusunda ya da vekil sunucuda istek boyutu, alan ve başlık sayısı da sınırlanır.
• Yükleme İlerlemesi: session.upload_progress.enabled değeri 0 yapılır ve bütün PHP işçi süreçleri yeniden başlatılır. Ayar php.ini, FPM havuzu ya da sunucu yapılandırmasında verilir; ini_set() ve .user.ini ile verilen değere güvenilmez. PHP 8.5'te ayrıca fatal_error_backtraces değeri 0 yapılır.

Güncellemeyi de bu önlemleri de uygulayamayan mağaza için WordPress ve WooCommerce, Birleşik Krallık Ulusal Siber Güvenlik Merkezi'nin (NCSC) önerisini aktararak siteyi bir süre çevrimdışı almanın düşünülebileceğini yazar. NCSC ayrıca güncelleme ya da kapatma gecikmişse sistemde yetkisiz erişim izi ve saldırganın bırakmış olabileceği arka kapı aranmasını, PHP çalışan bütün sistemlerin internete açık olanlardan başlanarak belirlenmesini önerir.

Uzman desteği gerektiren durumlar

WooCommerce kendi sunucunuzda çalıştığı için güncellemeleri ve yedekleri kimin takip edeceği ayrıca belirlenir. AdPix, WooCommerce e-ticaret kurulumu hizmetinde sunucuyu, yedekleme düzenini ve güncellemenin sorumlusunu kurulumdan önce yazılı olarak belirler; güncellemeyi sözleşmeyle üstlendiğinde dosyaları ve veritabanını yedekler, çekirdek, tema, eklenti ve PHP değişikliklerini önce sitenin test kopyasında dener, sorun çıkmazsa canlı mağazaya alır. Kurulmuş bir mağazada çıkan hata ve düzeltme talepleri e-ticaret teknik destek kapsamında ele alınır.

WooCommerce PHP güncellemesi için diğer rehberler

• WooCommerce e-ticaret kurulumu
• E-ticaret teknik destek
• WooCommerce kurulumundan sonra ilk ayarlar
• WooCommerce hata kayıtları neden boş görünür
• WooCommerce eski tema şablonu uyarısı
• Web barındırma (hosting) nedir

WooCommerce PHP güncellemesi hakkında sık sorulan sorular

WooCommerce mağazamın PHP sürümünü nerede görürüm?

WordPress panelinde Tools menüsündeki Site Health ekranının Info sekmesini açın; Server bölümündeki PHP version satırı sürümü gösterir. Aynı bilgi WooCommerce menüsündeki Status sayfasının Server environment bölümünde de yazar. Birçok barındırma firması sürümü kendi panelinde de gösterir.

21 Ekim 2026 PHP açıkları için WooCommerce'i güncellemem gerekir mi?

Gerekmez. WordPress ve WooCommerce, açıkların kendilerine değil PHP'ye ait olduğunu ve bu açıklar için WordPress ya da WooCommerce güncellemesi planlanmadığını duyurdu. Güncellenecek olan sunucudaki PHP'dir: kullandığınız dala göre 8.5.12, 8.4.27, 8.3.36 ya da 8.2.35.

PHP 8.2 kullanan mağaza ne zamana kadar güvenlik güncellemesi alır?

PHP projesinin destek tablosuna göre 8.2 dalının güvenlik desteği 31.12.2026'da biter; aktif destek 31.12.2024'te bitmişti. 8.2.35 sürümü 21 Ekim'de duyurulan açıkları kapatır, ancak destek bittikten sonra bu dal için yeni güvenlik sürümü çıkmaz. Bu yüzden 8.3 ya da daha yeni bir dala geçiş planlanır.

WooCommerce PHP 8.1 şartı hangi sürümle başlıyor?

WooCommerce'in 29.09.2026 tarihli kararına göre Şubat 2027'de çıkması planlanan 11.6 sürümü PHP 8.1 ve üstünü gerektirecek. PHP 7.4 ve 8.0 ile uyumlu son planlı sürüm 11.5'tir. 9 Kasım 2026 haftasına planlanan 11.3 ise bu iki PHP sürümünü kullanan mağazalara bir yönetici bildirimi ekleyecek.

PHP güncellemesinden sonra ödeme adımı çalışmazsa ne yapmalıyım?

Müşterileri ödeme adımından uzak tutun ve PHP'yi önceki sürüme döndürün ya da barındırma firmanızdan döndürmesini isteyin; gerekirse yedeği geri yükleyin. Dönerken yamalı bir sürümde kalın, sorunu hazırlama sitesinde giderin ve değişikliği ondan sonra yeniden deneyin.