PHP2Shell düzeltmeleri yayınlandı ancak yamalı hostlar ve eski PHP sürümleri siteleri hâlâ açık bırakabilir

Tek isim altında iki açıklık

21 Ekim'de PHP, şu anda PHP2Shell adıyla bilinen iki kusur için acil düzeltmeler yayınladı: CVSS v4.0 altında her biri 9.2 puanlanan CVE-2026-109618 ve CVE-2026-109619. hisashispace'nin dev.to'daki yazısına göre, hesabı olmayan bir saldırgan bunları sunucuda kod çalıştırmak için kullanabiliyor ve PHP, PHP-FPM, mod_php'li Apache, php-cgi, FrankenPHP ve LiteSpeed dahil web isteklerine hizmet veren her kurulumu etkilenmiş sayıyor. Risk, PHP'nin herhangi bir uygulama kodu çalışmadan önce başarılı olan kanıtlanmış bir exploite sahip olduğunu söylediği mod_php için en yüksek düzeyde değerlendiriliyor.

Mekanizmalar biraz farklı. CVE-2026-109618'de PHP, bir isteği hazırlarken belleği tükenebiliyor ve temizleme yolu daha sonra yalnızca yarım yapılmış verilere güveniyor. CVE-2026-109619'da ise dahili durum, referans verdiği bellekten daha uzun süre ayakta kalıyor, böylece aynı PHP worker'ının işlediği sonraki istek o artık durumu yeniden kullanabiliyor. The Dev Stack'ın dev.to'daki postmortem'i ikisini de tahsis ediciye (allocator) yakın koddaki use-after-free durumları olarak tanımlıyor: brute-force yapılacak bir giriş, çalınacak bir oturum veya çıkarılacak bir CSRF token'ı olmadan ön-kimlik doğrulama uzaktan kod çalıştırma. hisashispace gönderisinde alıntılanan watchTowr, varsayılan olarak etkin olan Session Upload Progress'in CVE-2026-109619'a giden doğrulanmış yollardan biri olduğunu, yani çoğu varsayılan kurulumun ön koşulu zaten karşıladığını ekliyor.\n

Delikli bir yama

Düzeltmeler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35'i kapsıyor. PHP 8.1 ve daha eskileri resmi sürüm almıyor: 7.4, 8.0 ve 8.1 dağıtım veya LTS backport'larına bağlıyken, 7.3 ve daha eskileri için hiçbir düzeltme yok. The Dev Stack'ın çerçevesi net — kullanım ömrü dolmuş dallarda bu, azaltılacak bir açık değil, planlanacak bir yükseltme. hisashispace tarafından alıntılanan Hostinger, etkilenen kodun en az PHP 5.4'e kadar uzandığını söylüyor.

Güncel siteler bile daha sinsi bir tuzağa karşı karşıya. Yönetilen hosting'de yamalanmış bir PHP derlemesi eski sürüm numarasını koruyabiliyor, çünkü Hostinger düzeltmeyi zaten dağıtılmış sürümler içine derledi; önerdiği kontrol derleme tarihi: 21 Ekim 2026 veya sonrasıysa yamalı demektir. Aynı gönderide atıf yapılan ActiveSet'in host takipçisi, CloudLinux düzeltmelerinin yamalanmış bir 8.3'ün hâlâ 8.3.35 raporlamasına yol açabileceğini, watchTowr ise komut satırı php binary'sinin PHP-FPM veya Apache'nin gerçekte çalıştırdığı yorumlayıcıdan farklı olabileceği konusunda uyarıyor. Pratik test hosta doğrudan bir soru: siteme hizmet veren PHP 21 Ekim'de veya sonrasında mı derlendi?

ActiveSet'e göre büyük hostlardaki dağıtımlar büyük ölçüde 22 Ekim'de tamamlandı: WP Engine 01:19 UTC'de bitirdi, Hostinger VPS dışındaki tüm planları kapsadı (VPS'te müşteriler PHP'yi kendileri güncelliyor), GoDaddy ise yalnızca kısmen yamalıydı.

Kitlesel tarama, az sayıda doğrulanmış ihlal

Amazon'un MadPot honeypot'ları ilk sömürme girişimini 21 Ekim'de, düzeltmeden dört gün önce kaydetti ve her iki gönderi de CVE ayrıntılarının planlanan ambargo kaldırılmasından yaklaşık 22 saat önce, 20 Ekim'de Hacker News'te sızdığını bildiriyor. Cloudflare CEO'su Matthew Prince artışı rakamladı: duyurudan önceki on saatte binlerce girişim, duyurudan sonraki 45 dakika içinde on binlerce, ardından milyonlarca.

Doğrulanmış ele geçirmeler hâlâ nadir. Palo Alto Networks, saldırganların PAN-OS güvenlik duvarlarında root elde etmek için PHP2Shell'i bir Linux kernel hatasıyla zincirlediğini söylüyor; araştırma firması Dream en az 25 ele geçirilmiş cihaz buldu ve Palo Alto kurulu tabanının yaklaşık yüzde 0,02'sinin etkilendiğini tahmin ediyor. Defiant, 2.000'den fazla IP adresinden gelen 77.000'den fazla ilgili isteği kaydetmesine rağmen 28 Ekim itarıyla bu şekilde hacklenen bir WordPress sitesi bilmediğini ve çalışan exploitlerin genellikle sunucuya özel ayar gerektirdiğini gözlemledi. Cato Networks, engellenen saldırıların yaklaşık yüzde 96'sının CVE-2026-109618'i hedeflediğini ve yüzde 41'inin kod çalıştırmayı denediğini buldu. Araştırmacı Marcus Hutchins durumu kabaca bir Log4J ölçeğindeki olayın yarısına varmış olmaya benzetti.

Erişim ölçümleri yönteme göre farklı: Censys, sürüm açıklayan 1,58 milyon hostun kabaca 1,57 milyonunun yamalanmamış olduğunu gördü; VulnCheck, en az bir milyonu kullanım ömrü dolmuş sürümlerde olmak üzere neredeyse tamamı savunmasız 2,6 milyondan fazla host saydı; VirusTotal yaklaşık 5,1 milyon PHP IP adresi tespit etti ve Palo Alto muhtemelen savunmasız örnek sayısını 22,6 milyonun üstüne koydu.

Erken trafiği okumak

The Dev Stack'ın MadPot kaydına ilişkin analizi, ilk isteğin önceden bilgi parmak izi olduğunu savunuyor: tek IP, tek deneme ve ilk denemede doğru tahsis edici yolu, fuzzing'in ürettiği ıskalama gürültüsünden hiç iz yok. Yanıt verenlere tavsiyesi, yayın öncesi pencere yetkin rakip sinyalini taşırken yayın sonrası trafiği tarayıcı gürültüsü olduğu için 17 Ekim'den itibaren kayıtları araştırmak. Gönderi ayrıca bakımcıların kendi postmortem'indeki "yapısal başarısızlık" ifadesini vurgulayarak 2000'lerin ortasından bu yana yinelenen bir tahsis edici kalığına işaret ediyor. Ayrıca PHP, 23 Ekim'de daha dar kapsamlı üçüncü bir sorunu, CVE-2026-115560'yı açıklayıp 26 Ekim'de ayrı bir Brotli hatası için yeniden derlenmiş Windows paketlerini yayınladı.

Neden önemli

PHP2Shell herhangi bir CMS, eklenti veya çerçevede değil, yorumlayıcının içinde duruyor; dolayısıyla bir uygulamayı yamalamak hiçbir zaman yeterli olmadı. Operatörler için iki sert ders şu: kullanım ömrü dolmuş PHP dalları için gelecek bir düzeltme yok ve hosting panosundaki bir sürüm numarası yama durumunun kanıtı değil. Defiant saldırganların hâlâ araçlarını geliştirdiği uyarısını yaparken ve bakımcıların kendisi de altta yatan kalıbı yapısal olarak nitelendirirken, derleme tarihlerini doğrulamak ve yayın öncesi kayıtları gözden geçirmek, Ekim'in acil sürümünün sorunu kapattığını varsaymaktan daha önemli.