PHP2Shell: Kritik kimlik doğrulamasız RCE açıkları bir onyıllık PHP sürümünü vurdu

Web'in çekirdeğinde kimlik doğrulamasız kod yürütme

PHP'deki PHP2Shell adıyla topluca bilinen iki kritik güvenlik açığı, 19–25 Ekim 2026 haftasında ortaya çıktı ve dünya genelindeki web sunucuları için ciddi bir güvenlik olayına dönüştü. dev.to'daki Will Velida'nın Agent Security Update yazısına göre bu açıklar, kimlik doğrulaması yapılmamış saldırganların etkilenen sunucularda uzaktan kod çalıştırmasına — hesap veya kimlik bilgisi gerekmeden — olanak tanıyor ve makinenin kontrolünü ele geçirme ya da veri çalma potansiyeli taşıyor.

Kapsamda bir onyıllık sürüm

İştah kabartan kısım açığın ölçeği. Velida, güvenlik açıklarının son on yılda yayımlanan tüm PHP sürümlerini, 5.4'e kadar geriye dönük olarak etkilediğini yazıyor. Wiz'in rakamlarına atıf yapan yazı, PHP'nin bankacılık ve kamu uygulamaları dahil dünyadaki web sitelerinin yaklaşık %70'ini çalıştırdığını belirtiyor; yani açıklanın andan itibaren potansiyel olarak erişilebilir hedef havuzu dev boyutlardaydı.

Önleyici kesintiler

Bazı kuruluşlar, sömürülme riskini göze almak yerine servislerini çevrimdışı alarak tepki gösterdi. Yazı, yamalar uygulanırken önlem olarak web sitelerini veya sayfaları indirenler arasında Finlandiya hükümetini, Hollanda'nın siber güvenlik kurumunu ve Wikipedia'nın arkasındaki organizasyon olan Wikimedia'yı sayıyor. Yazının kaleme alındığı sırada herhangi bir ihlal bildirilmemişti; ancak yazar, saldırganların daha önce sızıp aylarca sessiz kaldığını ve ancak daha sonra harekete geçtiğini hatırlatıyor.

Yapay zekâ destekli araştırma ve bozulan embargo

Bu açıklamayı farklı kılan iki detay var. Birincisi, yazı Calif ve Wiz'deki araştırmacıların keşif sürecinde OpenAI modellerini kullandığını belirtiyor; bu, yapay zekânın savunma amaçlı güvenlik çalışmasını hızlandırdığının son zamanlardaki en net örneklerinden biri. İkincisi, güvenlik açığının ayrıntıları koordine edilmiş embargo kalkmadan önce sızdı ve bu da PHP geliştiricilerini hem açıklamayı hem de düzeltmeyi planlanan süreden önce aceleyle yayımlamak zorunda bıraktı. Velida'ya göre bu sıkışmış zaman çizelgesi, bir açığın bilgisinin sızması durumunda saldırganların — insanlardan çok daha hızlı hareket edebilen otonom ajanlar dahil — ne kadar çabuk ilerleyebileceğini gözler önüne seriyor.

PHP zayıflıkları aynı hafta canlı saldırılarda görüldü

Derlemede bu aceleye neden gerek duyulduğu da anlaşılıyor. NorForge araştırmacıları, suçluların Deere, SharkNinja ve Cummins dahil 100'den fazla şirkete ait 1.200'den fazla siteye, açık kaynaklı bir yapay zekâ sızma testi sistemi olan Cairn'i yönelttiğini belgeledi. Belgelenen saldırı zincirlerinden biri, bir memcached oturum deposuna yetkisiz yazma erişimi, güvenli olmayan PHP nesne serileştirmesinin kaldırılması (deserialization) ve güncel olmayan Zend Framework kodunu bir araya getiriyordu. NorForge, denemelerin kabaca %10'unun başarılı olduğunu tahmin ediyor; ancak saldırganların hangi yapay zekâ modellerini kullandığını doğrulayamadı.

Neden önemli

PHP2Shell, bir web güvenlik açığının en kötü özelliklerini bir arada taşıyor: kimlik doğrulamasız sömürü, tam uzaktan kod yürütme ve bir onyıllık sürüm boyunca web'in büyük bölümünü kapsayan bir kurulum tabanı. PHP çalıştıran kuruluşlar, kullanıcıları kimlik doğrulaması öncesi bir RCE'ye maruz bırakmayı, servisleri çevrimdışı almaya karşı tartmak zorundaydı ve ulusal hükümetler dahil birkaçı kesintiyi seçti. Olay ayrıca açıklamaların bundan böyle nasıl gelişeceğine dair bir değişime işaret ediyor: Yapay zekâ destekli keşif, açıkların daha hızlı bulunabileceği anlamına gelirken; sızıntılar ve makine hızında hareket eden saldırganlar, özenli ve embargolu yama uygulama penceresini daraltıyor. Yöneticiler için mesaj açık: yamalayın, düzeltmenin uygulandığını doğrulayın ve aylarca ortaya çıkmayabilecek ihlal belirtilerini izlemeye devam edin.