PHP2Shell: PHP'de kritik iki kimlik doğrulamasız RCE açığı kapatıldı, sahada halihazırda istismar ediliyor

PHP motorunda kritik iki açık yamalandı

21 Ekim 2026'da PHP projesi, dil motorunun kendisinde bulunan ve topluca PHP2Shell olarak adlandırılan kritik iki güvenlik açığı için düzeltmeler yayımladı. Üretici duyurularını derleyen bir dev.to yazısına göre CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen her iki hata da kimlik doğrulaması olmadan uzaktan kod çalıştırmaya olanak tanıyor ve CVSS v4.0 skoru 9.2 taşıyor. İlk açık bellek tükenmesi kaynaklı bozulmadan, ikincisi ise eski global durum bilgisinden kaynaklanıyor.

Hatalar bir framework, tema veya eklenti yerine PHP'nin kendisinde bulunduğundan, bu katmanları güncellemek hiçbir koruma sağlamıyor. PHP projesi, web isteklerine hizmet veren her kurulumun risk altında olduğu uyarısını yapıyor; bu kapsama PHP-FPM, mod_php'li Apache, php-cgi, FrankenPHP ve LiteSpeed dahil. dev.to'nun aktardığına göre Cloudflare'nin önerisi, yöneticilerin uygulamalarının gerçekte çalıştığı PHP runtime'ını güncellemesi gerektiği yönünde.

Etkilenen sürümler ve düzeltmeler

Wiz, son on yıldaki — 5.4'e kadar uzanan — her PHP sürümünün iki açıktan en az birine karşı savunmasız olduğunu değerlendiriyor ve öncü yapay zeka modellerinin araştırmacılarına hem hataları bulmada hem de çalışan exploit'ler geliştirmede yardımcı olduğunu belirtiyor. Yamalanmış sürümler 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. 8.2'nin altında resmi bir düzeltme derlemesi yok; ancak PHP güvenlik ekibi, kaynaktan derleyenler veya uzun vadeli destek sunan bir üreticisi olmayan kurumlar için 7.4, 8.0 ve 8.1'e yönelik minimal kaynak kodu backport'ları yayımladı.

Ömrünü tamamlama tarihleri baskıyı daha da artırıyor: PHP 8.1'in desteği 31 Aralık 2025'te, 8.0'ınki Kasım 2023'te, 7.4'ünki Kasım 2022'de sona erdi. 8.2'nin güvenlik desteği 31 Aralık 2026'da, 8.3'ünki 31 Aralık 2027'de sona erecek; bu yüzden yazı, zaten yükseltme yapacak herkese 8.3 veya daha yeni bir sürümü hedeflemeyi öneriyor.

İsteklere hizmet veren runtime'ı doğrulayın

Qualys'nin iki uyarısı sürüm kontrollerini göründüğünden daha zor hale getiriyor. Komut satırında php -v ile bildirilen kurulum, web trafiğini işleyen kurulumdan farklı olabilir; ayrıca düzeltmeleri backport eden dağıtımlar genellikle eski sürüm numarasını korur, bu yüzden numaranın kendisinden ziyade üretici duyurusu daha güvenilirdir. Pratik doğrulama yolları arasında barındırma kontrol panelleri, WordPress'in Araçlar, Site Sağlığı, Bilgi ve Sunucu altındaki Site Health ekranı ve açığa çıktığı durumlarda X-Powered-By gibi yanıt başlıkları sayılabilir; ancak bu başlığın olmaması da tek başına bir şey kanıtlamaz. Sadece kontrol amacıyla bir phpinfo() sayfasını çevrimiçi bırakmak önerilmez, çünkü sunucu ayrıntılarını herkese açık eder.

İstismar raporları çelişiyor

Sahadaki faaliyetlere ilişkin anlatılar birbirinden ayrılıyor. Amazon Threat Intelligence, 17 Ekim 2026'da — düzeltmelerin yayımlanmasından dört gün önce — bir PHP2Shell exploit denemesi kaydetti ve yamalar kullanıma sunulduktan sonra açıkların artık yaygın biçimde istismar edildiğini belirterek soruşturmalara 17 Ekim'den başlanmasını önerdi. Aynı gün yayımlanan CISA uyarısı ise ajansın yayım anında herhangi bir istismar gözlemlediğini söyledi; iki değerlendirme arasında daha güncel olan AWS raporudur.

Cloudflare, PHP2Shell korumalarını WAF etkin olan her plana — ücretsiz tarifeler dahil — otomatik olarak uyguladı, ancak yine de müşterilerini yamalamaya çağırıyor. PHP projesi de benzer şekilde, geçici hafifletmelerinin yalnızca bazı saldırı yollarını engellediğini ve kurulumu güvence altına almadığını hatırlatıyor. Bir WAF güncelleme sırasında zaman kazandırır; güncellemenin yerini almaz.

Neden önemli

Uygulamada değil motorda bulunan bir kimlik doğrulamasız uzaktan kod çalıştırma açığı, runtime'ı değiştirmek dışında bir çözüm bulunmadığı anlamına geliyor ve bu maruziyet kabaca on yıllık sürümlere yayılıyor. Wiz, açıkların sunucu belleğinde tutulan parolaları, token'ları ve API anahtarlarını ortaya çıkarabileceğini gösterdi; yani ele geçirilme yalnızca sayfa değiştirme ötesine geçip kimlik bilgisi hırsızlığına uzanıyor. İstismarın halihazırda yaygın olduğu bildirildiğinden, PHP 8.1 veya daha eski sürümlerde kalan kurumlara yönelik CISA önerisi çarpıcı: bu sistemler yamalanana veya yükseltilene kadar bağlantılarını kesin. Öncü yapay zeka modellerinin çalışan exploit'ler üretilmesine yardımcı olması ayrıca güvenlik açığı araştırmalarının nasıl yapıldığında bir değişime ve açıklama ile aktif saldırı arasındaki pencerenin muhtemelen kısalacağına işaret ediyor.