php2shell: PHP çekirdeğindeki kritik kimlik doğrulamasız RCE açığı yamalandı; Cloudflare canlı saldırıları engelliyor

Dört PHP sürümünde yamalanan iki çekirdek hata

21 Ekim 2026'da PHP projesi, desteklenen tüm dallar için — 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 — kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırmaya imkân tanıyan, CVSS 9.2 olarak derecelendirilmiş iki güvenlik açığını düzelten güncellemeler yayınladı. PHP güvenlik ekibinin bildirisine göre web isteklerine hizmet veren tüm kurulumlar risk altında; buna PHP-FPM, mod_php'li Apache, php-cgi, FrankenPHP ve LiteSpeed dahil. Ekip, mod_php yapılandırmasını en tehlikeli olarak değerlendiriyor ve herhangi bir uygulama kodu çalışmadan önce kimliği doğrulanmamış bir istekle tetiklenen bir exploit gösterdi.

Sorunları keşfedip bildiren Wiz Research, son on yılda çıkan her PHP sürümünün, PHP 5.4'e kadar geri giderek en az birinden etkilendiğini söylüyor. Cloudflare'ın aktardığına göre koordineli ifşaya OpenAI, Calif ve Quarkslab da katıldı; Cloudflare, yayın öncesinde önlemler hazırlayan AWS, Google, Microsoft, Akamai, Fastly ve Wiz'in listelediği diğer altyapı sağlayıcılarından biriydi.

Bir isteğin ötesinde yaşayan bellek hataları

Her iki CVE de PHP'nin istekleri işlerken hata koşullarını ele alma biçiminden kaynaklanıyor. CVE-2026-109618'de bellek yetersizliği durumu, iç istek verileri yalnızca kısmen başlatılmışken PHP'yi yarıda kesebiliyor ve temizlik aşaması bu eksik veriyi geçerli kabul ediyor. CVE-2026-109619'da ise isteğe ait durum, onu taşıyan bellek serbest bırakıldıktan sonra da varlığını sürdürüyor ve aynı worker'ın işlediği sonraki bir istek bu eski durum üzerine işlem yapabiliyor.

Wiz'in yazısında bir upload-progress unserializer use-after-free, bir fatal-error backtrace use-after-free ve bir OPcache type confusion dahil olmak üzere somut örnekler sıralanıyor. Sonuçlar bir worker'ın çökmesinin ötesine geçiyor: saldırganlar hassas süreç belleğini okuyabilir — diğer isteklere ait parolalar, kimlik doğrulama token'ları, API anahtarları ve sertifikalar potansiyel olarak ele geçebilir — ya da kod çalıştırabilir. Wiz hataları php2shell adlı tek bir exploit betiğinde birleştirdi ve stok WordPress, Drupal ve Joomla container imajlarında kimlik doğrulaması öncesi kod çalıştırmayı gösterdi. Hata uygulamada değil runtime'da bulunduğundan, Wiz etkilenen bir sürümdeki minimal bir "Hello World" PHP betiğinin bile açıkta olduğunu belirtiyor.

Tam çözüm yalnızca yamalamak

PHP bildirisi hiçbir geçici çözümün sorunu tamamen çözmeyeceği konusunda net; ancak belirli saldırı yollarını azaltan önlemleri listeliyor. Bellek yetersizliği hatası için, uygulamaların geçersiz kılamayacağı biçimde memory_limit'i -1'e ayarlamayı (örneğin php_admin_value ile), post_max_size'ı yükleme yokken 8M, varken 32M ile sınırlamayı ve proxy katmanında boyut, alan sayısı ve iç içelik sınırlarını zorunlu kılmayı öneriyor; ayrıca savunmasız bellek ayırma hatasını tetikleyebilen RLIMIT_AS veya RLIMIT_DATA kullanılmaması konusunda uyarıyor. Eski durum hatası için session.upload_progress.enabled'yi ve PHP 8.5'te fatal_error_backtraces'ı devre dışı bırakıp worker'ları yeniden başlatmayı ve saldırganın erişebileceği fatal error'ları düzeltmeyi tavsiye ediyor.

PHP 8.1 ve daha eskisi artık proje güncellemeleri almıyor; ancak güvenlik ekibi, kaynaktan derleme yapanlar için 7.4, 8.0 ve 8.1'e yönelik minimal kaynak geri portları yayınladı. Linux dağıtımları ve LTS satıcıları yamaları önceden aldı. Ekip ayrıca PHP 8.2'nin 31 Aralık 2026'da kullanım ömrünün sonuna ulaşacağını ve gönüllü tarafından sürdürülen rpms.remirepo.net deposunun yayın gününde güncellemelere sahip olmayacağını bildirdi.

Saldırı trafiği zaten gözlendi

Cloudflare, güvenlik açığı ayrıntılarının planlanan yayın tarihinden önce sızdığını ve müşterilerini hedefleyen saldırı trafiği gördüğünü, saldırganların kurallarını atlamak için payload'ları değiştirdiğini açıkladı. Şirket, web uygulama güvenlik duvarı korumalarını Ekim başında geliştirmeye başladı ve bunları halka açık ifşadan yaklaşık dokuz saat önce devreye aldı; 21 Ekim 03:02 UTC'den itibaren ücretsiz plan dahil tüm WAF müşterileri varsayılan olarak korunuyordu.

php2shell'i tespit etmek yalnızca istek incelemesinden fazlasını gerektirdi; çünkü tek başına bir istek, exploit'i meşru trafikten ayırt etmeyebilir. Cloudflare, tek bir HTTP işlemi içinde istek ve origin yanıt sinyallerini birleştiren ve eşleşen bir yanıtı istekte bulunana ulaşmadan önce engelleyebilen, full transaction detection adını verdiği yeni bir yetenek geliştirdi. Şirket, WAF kurallarının ek bir katman olduğunu ve PHP güncellemesinin uygulanmasının yerine geçmediğini vurguladı.

Yapay zekâ boyutu

Wiz'in anlatısının dikkat çekici bir yanı, exploit'in nasıl var olduğudur. Temeldeki hatalar kod tabanında on yılı aşkın süredir vardı, ancak silaha dönüştürmek birden çok hatayı zincirlemeyi ve her hedefin bellek düzenine uyarlamayı gerektiriyordu — Wiz'in manuel araştırma için neredeyse pratik değil diye tanımladığı bir iş. Frontier yapay zekâ modelleri bu denklemi değiştirdi ve araştırmacıların çalışan exploit'leri saatler içinde birden çok uygulama üzerinde kurmasını ve uyarlamasını sağladı. Wiz, bulgunun önemini Heartbleed ve Log4Shell ile karşılaştırıyor ve bu tür bir çalışma için gereken emek ve uzmanlık azaldıkça yalnızca karmaşıklığın artık güvenilir bir savunma olarak görülemeyeceğini savunuyor.

Neden önemli

PHP, WordPress, Drupal, Joomla ve Wikipedia'nın MediaWiki'si dahil web sitelerinin yaklaşık %70'ini çalıştırıyor. Bu hatalar motorun içinde yaşıyor; dolayısıyla güvenli uygulama kodu ve özenle bakımı yapılan plugin'ler koruma sağlamıyor — yalnızca bir PHP güncellemesi sağlıyor. Uygulama kodu çalışmaya başlamadan önce tetiklenebilen kimlik doğrulamasız sömürü ile resmi düzeltmeleri hiçbir zaman almayacak geniş bir desteklenmeyen sürüm tabanının birleşimi, hızlı yamalamayı acil kılıyor. Yapay zekâ boyutu bu olayın ötesinde de önemli: uzun süredir sömürülmek için çok karmaşık sayılan hatalar artık hızla çalışan saldırılara dönüştürülebiliyor ve bu, savunucuları "pratikte sömürülebilir" kavramını yeniden değerlendirmeye zorluyor.