21 Ekim 2026 - Php öldü

php.ini değilmiydi sen .htacces e mi koydun

Evet .htaccess'e koymuştum kodu işe de yaramıştı off haline getirmişti. Ama artık gerek kalmadı galiba cpanel güncellemeleri yapılmış çünkü php yamasını içeren.

Maile spam falan yapılıyor sandım .d

Gördüğüm çat çat hack olayları başladı.Örnek GOG platformu uçtu 1 saat oluyor

Şuan en büyük güvenlik önlemi yedek almak. Mutlaka tüm sunucularınızdaki tüm sitelerinizin tam yedeğini alın. Ne olur ne olmaz maksimum kaybınız 1-2 gün olsun.
Onun dışında güncellemeleri takipte kalın.

yıllık siteler ansızın hacklenir linkler eklenir
rezil bi sistem başka birsey degil

Umarım bankacılık sistemlerine bir şey olmaz zaten eksilerdeyiz ))

2 sunucuma shutdown dedim.
Kapattım.
Yamalar yayınlananave stabilite sağlanana kadar 24-48 saat sunucuyu ve tüm siteleri kapalı tutabilirim.
Sunucularda sanal mağazalarım var.
Elalemin verisini ve sunucunun kontrolünü çaldırmaya niyetim yok.
Bu ay 2 gün az ciro yaparız.

Sen ölürsün ben ölürüm ama Php ölmez!
20yıldır haşır neşirim her sene ölecek şu php denen dil. Fakat ne hikmetse internetteki sitelerin %70' i halen PHP.

Abartmayın bu açıkların çok daha fazlası Node.js' de de oldu fakat vibecoderlar sadece php hateri olduğu için bunları konuşmaz:

----

1. HTTP İstek Kaçakçılığı (HTTP Request Smuggling)

Node.js'in dahili HTTP parser bileşenlerinde (özellikle llhttp entegrasyonunda) Transfer-Encoding ve Content-Length başlıklarının çelişkili yorumlanması sonucu ortaya çıkmıştır. Ters vekil sunucuları (Nginx, Cloudflare vb.) ile Node.js arasındaki ayrıştırma uyumsuzluğu, saldırganların oturum çalmasına veya filtreleri atlamasına yol açar.

• CVE-2023-30589 / CVE-2023-32058: llhttp parser'ındaki RFC ihlalleri nedeniyle önbellek zehirleme ve yetkisiz istek enjeksiyonu.
• CVE-2020-8201: Parçalanmış (chunked) aktarım kodlamasındaki boşluklar üzerinden HTTP kuyruğuna sahte istek enjekte etme açığı.

2. İzin Modeli ve Sandbox Atlatma (Permission Model Bypass)

Node.js'in deneysel olarak sunduğu erişim kısıtlama mekanizmalarında (--experimental-permission, --deny-fs-*) dosya ve işlem izolasyonunu kırmaya yönelik açıklar.

• CVE-2023-32002 / CVE-2023-32006: Module._load ve fs.statfs kullanılarak izin modeli kısıtlamalarının (--allow-fs-read/write) etrafından dolanıp dosya sistemine yetkisiz erişim.
• CVE-2023-30584: Yol çözümleme (path traversal) ve sembolik bağ (symlink) manipülasyonları ile izin verilen dizin sınırlarının dışına çıkılması.

3. Komut / Kod Enjeksiyonu ve RCE (Remote Code Execution)

Geliştiricilerin alt süreçleri (child_process) çalıştırma biçiminden veya Node.js iç API'larının argüman ayrıştırma hatalarından kaynaklanan açıklar.

• CVE-2024-27980: Windows ortamlarında child_process.spawn veya execFile kullanılırken toplu iş (.bat / .cmd) dosyalarının çağrılması durumunda komut satırı argümanlarının kötüye kullanılarak rastgele kod çalıştırılması.
• CVE-2021-22930: Node.js'in Use-After-Free tipi bellek yönetimi hataları üzerinden uzaktan kod çalıştırmaya imkan tanıyan kritik zafiyet.

4. Servis Dışı Bırakma (Denial of Service - DoS & ReDoS)

Node.js tek iş parçacıklı (single-threaded) bir olay döngüsü (event loop) kullandığı için CPU'yu kilitleyen zafiyetler tüm sunucunun donmasına neden olur.

• CVE-2024-22019: HTTP istek başlıklarının okunması sırasında aşırı kaynak tüketimi (Resource Exhaustion) ile sunucunun yanıt veremez hale gelmesi.
• CVE-2022-32212: Dahili düzenli ifadelerin (RegEx) kötü niyetle hazırlanmış girdilerle kilitlenmesi (ReDoS).
• CVE-2020-8174: C++ katmanında bellek ayrıştırma (buffer allocation) taşmaları ile sürecin çökertilmesi.

5. Dahili Bağımlılık Kaynaklı Açıklar (OpenSSL, V8, zlib)

Node.js kendi çekirdeğinde OpenSSL, Google V8 ve zlib gibi C/C++ kütüphanelerini barındırır. Bu katmanlardaki kritik açıklar Node.js'e doğrudan yansır.

• OpenSSL Zafiyetleri (Örn: CVE-2022-3602, CVE-2022-3786): X.509 sertifika doğrulaması sırasında arabellek taşması (buffer overflow) ile çökme veya kod yürütme.
• V8 Engine İstismarları: Tip karmaşası (Type Confusion) ve bellek taşması hataları üzerinden korumalı bellek alanlarının okunması veya değiştirilmesi.

6. npm ve Ekosistem Açıkları (Supply Chain & Prototype Pollution)

Node.js tartışmalarında karşı tarafa verilebilecek en büyük güvenlik kozu çekirdekten ziyade npm ekosistemidir:

• Prototype Pollution: Object.prototype'ın manipüle edilmesiyle nesne özelliklerinin ezilmesi ve kimlik doğrulama kontrollerinin aşılması (örneğin popüler lodash kütüphanesindeki geçmiş zafiyetler).
• Tedarik Zinciri Saldırıları (Supply Chain): Popüler paketlerin ele geçirilip içine zararlı kod yerleştirilmesi (Örn: event-stream vakasında Bitcoin cüzdanlarının hedef alınması, node-ipc protesto yazılımı vakası).
• Dependency Confusion / Typosquatting: Yanlış yazılan ya da dahili kurumsal paket isimlerini taklit eden sahte paketlerin sisteme sızması.