PHP, PHP 5.4'ten bu yana her sürümü etkileyen kritik kimlik doğrulaması gerektirmeyen RCE açıklarını yamaladı

Ne oldu

21 Ekim 2026'da PHP projesi, araştırmacıların topluca PHP2Shell adını verdiği CVE-2026-109618 ve CVE-2026-109619 numaralı iki kritik güvenlik açığını kapatan güvenlik sürümlerini yayınladı. Coding Cat Dev'in dev.to'daki yazısına göre her iki açığın CVSS v4.0 skoru 9.2 olup, kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırmaya imkân veriyor ve 5.4'ten 8.5'e kadar tüm PHP sürümlerini etkiliyor. Merradou'nun ikinci bir dev.to gönderisi yamalı sürümleri doğruluyor: 8.2.35, 8.3.36, 8.4.27 ve 8.5.12.

Altta yatan hata yeni değil. Coding Cat Dev makalesinde atıf yapılan PHP Foundation'ın güvenlik değerlendirmesine göre, bir bellek yetersizliği durumu ilk kez 2024'te, OSTIF aracılığıyla Sovereign Tech Agency tarafından finanse edilen Quarkslab dış denetiminde fark edildi. Düzeltme çalışması daha sonra yaklaşık iki yıl boyunca durdu; çünkü kimse çalışan bir exploit göstermemişti ve her aday yama, geriye dönük uyumluluğu veya üçüncü taraf C eklentilerini bozma riski taşıyordu.

2026'da değişen şey araçlar oldu. Makaleye göre Calif'ten güvenlik araştırmacısı Ryan Austin, OpenAI'nin Patch the Planet eşgüdümlü ifşa programı kapsamında OpenAI'nin GPT-5.6 Sol modelini kullanarak teorik durumu çalışan bir kimlik doğrulaması öncesi exploit zincirine dönüştürdü. Ayrıca Wiz, Google Gemini ve GPT modelleriyle geliştirilmiş yapay zekâ destekli güvenlik açığı araştırma ajanlarıyla iki CVE'yi de raporladı ve bu ikiliyi yapay zekâ yardımıyla bulunmuş en ağır güvenlik açıkları olarak nitelediği bildirildi.

Güvenlik açığı nasıl çalışıyor

Hata, C tabanlı PHP yorumlayıcısının kendisinde, istek başına bellek yönetimini ve hata işlemeyi üstlenen Zend Engine kod yollarında yer alıyor. Coding Cat Dev'in ayrıştırmasına göre: dar bir başlatma penceresi sırasında PHP'nin bellek limitini tetikleyen özenle hazırlanmış bir istek, motorun bazı iç işaretçiler tam olarak kurulmadan önce isteği durdurmasına neden oluyor. Kapanış temizlik yordamı daha sonra bu kısmen başlatılmış yapıları geçerli işaretçiler olarak ele alıyor ve bu da kimlik doğrulaması yapılmamış uzaktan bir saldırganın, uygulamanın kendi kimlik doğrulama kontrolleri hiç çalışmadan motor belleğini bozmasına imkân tanıyor.

Makalede atıf yapılan Sansec Forensics danışma notuna göre Calif, WordPress, Laravel, Symfony, Magento, Drupal, Joomla, MediaWiki, Nextcloud, Roundcube ve phpMyAdmin'in temiz kurulumlarında kimlik doğrulaması gerektirmeyen kod çalıştırmayı gösterdi. Güvenlik açığı PHP binary'sinin içinde yaşadığından (php-fpm, mod_php veya php-cgi), uygulama kodunu, eklentileri veya Composer bağımlılıklarını güncellemek sorunu çözmez. Tek çözüm runtime'ı yamalamaktır.

Çöken bir embargo

Eşgüdümlü ifşa 21 Ekim'de 14:00 UTC için planlanmıştı ama zaman çizelgesi parçalandı. Coding Cat Dev gönderisine göre CVE kimlikleri ve bir kavram kanıtı videosu 20 Ekim'de sosyal medyaya sızdı ve bu, saldırganları keşif taramalarına başlamaya teşvik etti. 21 Ekim'de 07:41 UTC'de container satıcısı Chainguard, yamalı container imajlarını planlanandan altı saatten fazla önce yayınladı; PHP Foundation bunun herkesin yamayı önceki sürümle ikili olarak karşılaştırmasına imkân tanıdığını belirtti. Cloudflare ilk otomatik sömürü girişimlerini iki dakika sonra kaydetti ve CEO Matthew Prince, keşif taramalarının 45 dakika içinde binlerden on binlere, Cloudflare'in tüm ağında milyonlara ulaştığını bildirdi.

Makale, BBC News'e atıfla, hükûmet portallarının, Wikipedia'nın arkaındaki Wikimedia sistemlerinin, İskoç halk sağlığı kurullarının, Edinburgh Belediyesi'nin, Finlandiya hükûmetinin ve Hollanda'nın NCSC'sinin önlem olarak servisleri geçici olarak çevrimdışı aldığını aktarıyor.

Sömürmek ne kadar zor

Sansec, Tenable ve Bitdefender'daki araştırmacılar önemli bir uyarı ekliyor: Log4Shell veya Shellshock'un aksine, güvenilir sömürü, tam pencereyi yakalamak için bir sunucunun bellek yapılandırması ve uygulama durumu hakkına hedefe özgü bilgi gerektiriyor gibi görünüyor. Herkesçe bilinen kavram kanıtı scriptlerinin çoğunun varsayılan PHP kurulumlarına karşı başarısız olduğu veya ayrı bir yerel dosya dahil etme hatasına bağlı olduğu bildiriliyor. Yine de uzlaşı şu: yapay zekâ destekli saldırı araçları gelişmeye devam ederken, internete açık bir PHP runtime'ını yamamış bırakmak kabul edilebilir değil.

Nasıl kontrol edilir ve yamalanır

Merradou'nun dağıtım rehberi: php -v yalnızca komut satırı kurulumunuzu gösterir ve bu, web isteklerini sunan runtime'dan farklı olabilir. Container'lar, ikincil sunucular, internete açık staging ortamları ve unutulmuş eski uygulamalar dahil konuşlandırılmış her örneği kontrol edin. Güncellemeyi kurun, ilgili servisleri yeniden başlatın veya container'ları değiştirin, çalışan işlerin yamalı sürümü kullandığını doğrulayın ve ardından kritik akışları test edin. Satıcıların bazen düzeltmeleri yukarı akış sürüm numarasını değiştirmeden eski paketlere geri taşıdığını unutmayın; bu yüzden yalnızca numaraya değil, satıcının güvenlik duyurusuna bakın.

7.4, 8.0 ve 8.1 gibi ömrünü tamamlamış dallar için PHP.net resmi binary yayınlamıyor ve resmi Docker imajları güncellenmeyecek; ancak Coding Cat Dev makalesine göre Debian, Ubuntu, CloudLinux ve Remi'nin RPM deposu yamaları geri taşımış durumda.

Neden önemli

Bu, tüm PHP framework'lerinin altında yer alan runtime düzeyinde bir hata ve PHP web'in çok büyük bir bölümünü çalıştırıyor — Coding Cat Dev makalesi bu payı yaklaşık %70 olarak veriyor. Ayrıca bu, en gelişmiş yapay zekâ modellerinin güvenlik açığı araştırması hesabını değiştirdiğinin net bir kanıtı: iki yıl boyunca teorik sayılan bir hata çalışan bir exploit zincirine dönüştü ve embargo kırılır kırılmaz günler değil dakikalar içinde toplu taramalar başladı. Operasyonel ders açık: isteklerinizi gerçekte neyin servis ettiğini doğrulayın, her örneği yamalayın ve bağımlılık güncellemelerinin yorumlayıcının kendisindeki açıkları kapsadığını varsaymayın.