PHP2Shell ve Node2Shell: Uyuyan web açıkları bir hafta boyunca acil yamalamaya yol açtı

Geçen hafta web'in temelleri acil onarıma ihtiyaç duydu. 21 Ekim Çarşamba günü PHP Foundation, PHP2Shell adı verilen iki kritik güvenlik açığı için düzeltmeler yayınladı; aynı gün Node.js, Google'ın Brotli sıkıştırma kütüphanesindeki ayrı bir kritik hatayı, Node2Shell takma adıyla açıkladı. Her iki hata kümesi de uzun süredir uykudaydı ve her ikisi de etkilenen sistemlerde uzaktan, kimlik doğrulaması gerektirmeyen kod yürütülmesine izin veriyor.

PHP güvenlik açıkları

TechCrunch'a göre PHP hataları CVE-2026-109618 ve CVE-2026-109619 tanımlayıcılarını taşıyor. Bu hatalar bir saldırganın internete açık bir PHP sistemine kimlik bilgisi olmadan ve mağdurun herhangi bir eylemi olmadan sızmasını sağlıyor; etkili bir şekilde yamalanmamış bir sunucunun tam kontrolünü devrediyor.

Hatalar ilk kez 2024'te, OpenAI ve Wiz'in yürüttüğü Hack the Planet girişimi kapsamında yapılan bir güvenlik denetimi sırasında Calif araştırmacıları tarafından bulundu; aynı ekip kavram kanıtı (proof-of-concept) istismarları da doğruladı. O dönemde hatalar istismar edilemez kabul edildi ve yamanmadı; araştırmacılar yakın zamanda bunları nasıl silahlandıracaklarını çözdü. Calif, istismar çalışmasında yapay zekânın yardımcı olduğunu ancak çabanın büyük ölçüde ekibin PHP kod tabanına dair kendi bilgilerine dayandığını belirtti ve şu an hiçbir modelin tek bir prompt ile her hatayı ortaya çıkaramayacağını ekledi.

Etki alanı çok geniş, çünkü PHP hâlâ her yerde. TechCrunch, internetin web'e bakan kısmının kabaca %70'ini PHP üzerine kurulu olarak gösteriyor; buna WordPress, Drupal, Joomla ve MediaWiki de dahil. Büyük barındırıcılara önceden başlama şansı veren bir ambargonun ardından Çarşamba günü yapılan eşgüdümlü yayın sonrasında bankalar, perakendeciler, hastaneler, oyun siteleri ve bazı devlet kurumları yükleme yapmak için hizmetlerini çevrimdışına aldı.

Ancak istismar, açıklamadan öncesine dayanıyor. Amazon, PHP2Shell etkinliğini yamalar yayınlanmadan yaklaşık bir hafta önce tespit ettiğini bildirdi ve savunmacılara 17 Ekim'den itibaren ele geçirilme belirtilerini aramaları tavsiyesinde bulundu. PHP Foundation, bir şirketi ambargo kalkmadan saatler önce yamaları yayınlamakla suçladı; ancak bu, daha erken tarihli etkinliği açıklamaz. Cuma günü sonlarına doğru TechCrunch, Palo Alto Networks başta olmak üzere çeşitli güvenlik firmalarına dayanarak doğrulanmış ele geçirmeler ve istismar sonrası etkinlikler bildirdi.

Brotli hatası

Aynı Çarşamba günü Node.js, dev.to'daki ayrıntılı birinci ağızdan hesaba göre CVSS v4.0 altında 9.2 puan alan, Brotli çözücüsündeki bir sınırlar dışı yazma (out-of-bounds write) hatası olan CVE-2026-111497'yi açıkladı. Bu hata, saldırgan kontrolündeki Brotli verisini açan her süreçte uzaktan, kimlik doğrulaması yapılmamış bir saldırgana kod yürütme imkânı verebiliyor. Aikido adlı güvenlik firması, aynı çözücünün ekosistem genelinde runtime'ların, HTTP istemcilerinin ve ağ geçitlerinin içinde dağıtılması nedeniyle daha geniş soruna HTTP2Shell adını vermeye başladı.

dev.to yazarı tek bir Linux makinesini denetledi ve birbirinden ayrı üç Brotli derlemesi buldu — Python'un dağıtım paketi, Node'un paketle birlikte gelen kopyası ve curl'e bağlanan sistem kütüphanesi — hiçbiri açıkça kurulmuş değildi. Her kopya kendi üreticisinin takvimine göre yamalanıyor. Düzeltmeler PyPI'daki brotli 1.2.1 ve brotlicffi 1.2.1.0 sürümlerine, ayrıca C kütüphanesinin 1.0.10, 1.1.1 ve 1.2.1 dal sürümlerine girdi.

Yazarın kendi kaynak karşılaştırmasına (diff) göre kök neden, boolean dönüş değerinin hatalı biçimlendirilmiş bir akışı daha fazla girdi talebiyle karıştırdığı bir çözücü fonksiyonu; fast-path çağıranlar ise dönüş değerini tamamen yok sayıyordu. Özenle hazırlanmış bir akış başarısız bir blok geçişine zorlandığında çözücü eski durum üzerinde çalışmaya devam ediyor ve dokunmaması gereken belleğe yazıyordu. Çarpıcı bir şekilde, OpenAI'nin hatayı Şubat'ta bulduğu ve kök nedenin o zaman kaynakta düzeltildiği bildiriliyor; ancak kimse bunu bir güvenlik sorunu olarak tanımadığı için bu haftaya kadar hiçbir sürüm düzeltmeyi taşımadı.

Tespit iki yönde de kırıldı

İki karmaşık tespit sorunu ortaya çıktı. Birincisi, açıklamadan sonra yaklaşık 48 saatlik bir pencere boyunca danışma (advisory) veritabanları CVE'yi PyPI paketlerine eşlememişti; yani pip-audit, Dependabot ve Safety gibi araçlar savunmasız kurulumları temiz olarak raporluyordu. OSV kayıtları 23 Ekim'de ekledi ve dev.to yazarı güncel pip-audit'in artık etkilenen sürümleri işaretlediğini doğruladı. Veritabanları etkilenen küme konusunda hâlâ ayrışıyor — OSV on sürüm, GitHub'ın danışması yedi sürüm listeliyor — ancak her ikisi de 1.2.1'in düzeltildiği konusunda hemfikir.

İkincisi, yamalanmış Node.js sürümü v24.22.1, düzeltme kütüphanenin sürüm dizesi güncellenmeden cherry-pick edildiği için paketindeki Brotli'yi hâlâ 1.2.0 olarak raporluyor. Sürüm tabanlı tarayıcılar bu nedenle yamalanmış runtime'ı süresiz olarak savunmasız göstermeye devam edecek. Sürüm dizeleri, temeldeki kodun kusurlu bir vekilidir ve bu CVE bu vekili iki yönde de kırdı: tarayıcılar iki gün boyunca gerçek bir güvenlik açığını gözden kaçırdı ve sonsuza dek var olmayan bir açılı görmeye devam edecek.

Neden önemli

Her iki olay da web'in ne kadarının yaşlanan, geniş çapta paketlenen açık kaynak bileşenlerine, çoğu zaman güvenlik incelemesi için fon almadan gönüllüler tarafından sürdürülen bileşenlere dayandığını gösteriyor. Brotli vakası en keskin derstir: düzeltme yaklaşık sekiz ay boyunca kaynakta mevcuttu, ancak biri bir sürüm yayınlayana dek çözücüyü içeren her runtime açıktaydı. PHP vakası ise eşgüdümlü açıklamanın büyük ölçüde işe yaradığını — kitlesel istismar önlendi — ama ambargoların sızdığını ve birçok sistemin hâlâ yamalanmamış olduğunu da gösteriyor. TechCrunch ayrıca gelebileceklere işaret ediyor: araştırmacılar yapay zekânın tam bu türden uykudaki güvenlik açıklarının keşfini hızlandırmasını bekliyor; dolayısıyla sektör böyle haftaların artmasını beklemeli.