"PHP2Shell" Adı Verilen İki Kritik PHP Açığı Web'in Büyük Bölümünü Tehlikeye Atıyor

21 Ekim 2026'da, güvenlik araştırmacılarının toplu olarak "PHP2Shell" lakabını verdiği iki kritik uzaktan kod çalıştırma açığını kamuoyuna açıklamasının ardından PHP projesi dilin yamalanmış sürümlerini yayınladı. CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen açıklar, bulut güvenliği şirketi Wiz Research tarafından bulundu; Wiz'in kamuya açık yazısına göre şirket, keşfe, koordinasyona ve yama doğrulamasına katkılarından dolayı Calif ve OpenAI organizasyonlarına teşekkür etti.

İki güvenlik açığı ne yapıyor

Wiz, iki CVE'nin aslında dört farklı altta yatan hatayı kapsadığını söylüyor. CVE-2026-109618, PHP'nin oturum yükleme-ilerleme (upload-progress) unserializer'ındaki, uzaktan kod çalıştırma için kötüye kullanılabilen bir use-after-free (serbest bellek sonrası kullanım) açığını ve kimlik doğrulaması olmadan çalışan bir PHP worker sürecinden bellek sızdırılabilen ilgili bir hatayı kapsıyor. CVE-2026-109619 ise PHP'nin ölümcül hata (fatal-error) geri izleme (backtrace) işlemesindeki bir use-after-free açığını ve PHP'nin paylaşımlı bellek bytecode önbelleği olan OPcache'teki ayrı bir tür karışıklığı (type-confusion) hatasını kapsıyor.

Wiz'e göre, her iki sorun da neredeyse her PHP isteğinin geçtiği kod yollarında yer alıyor: bellek yönetimi ve hata işleme. PHP Foundation da SecurityWeek'in bildirdiği yorumlarda aynı noktaya işaret etti.

Keşif zaman çizelgesi

Blog yazısında Sagi Tzadik, Shir Tamari, Nir Ohfeld ve Tomer Schwartz olarak adlandırılan Wiz'in araştırma ekibi, ilk hatayı 19 Ağustos 2026'da bulduğunu ve sonraki iki gün içinde WordPress ve Drupal kurulumlarına karşı çalışan uzaktan kod çalıştırma istismarlarını doğruladığını söylüyor. Ekip, bulgularını PHP güvenlik ekibine 24 Ağustos 2026'da bildirdi. Kamuya açıklama ve buna karşılık gelen yamalar 21 Ekim 2026'da geldi.

Wiz, kavram kanıtı (proof-of-concept) istismarları oluşturmaya yardımcı olmak için Google'ın Gemini 4 Argon ve OpenAI'nin GPT-5.6 Sol gibi yapay zeka kodlama modellerini kullandığını söylüyor; önceden uzman araştırmacıların aylar süren bir iş olarak gördüğü çalışmanın artık saatler içinde başarılabildiğini belirtiyor.

Kimler etkileniyor

Wiz, altta yatan açıkların kabaca son on yılda yayınlanan her PHP sürümünde mevcut olduğunu, iki CVE'den en az birinin PHP 5.4'ten itibaren bulunduğunu belirtiyor. Şirket, yaygın olarak kullanılan üç içerik yönetim sisteminin güncel sürümlerine karşı kimlik doğrulaması olmadan uzaktan kod çalıştırmayı doğruladığını söylüyor: WordPress, Drupal ve Joomla. SecurityWeek, hataların PHP-FPM, mod_php ile Apache, php-cgi, FrankenPHP ve LiteSpeed dahil olmak üzere yaygın PHP dağıtım yöntemlerini etkilediğini bildiriyor.

Wiz, şirketin yazısına göre, maruziyetin ölçeğini internetin kabaca %70'ini etkileyecek şekilde çerçeveliyor; bu, bir şekilde PHP üzerinde çalışan web sitelerinin oranına atıfta bulunuyor.

Açıklama sonrası istismar girişimleri

Birden fazla güvenlik şirketi, açıklama çevresindeki saldırı trafiğini izledi. SecurityWeek, watchTowr şirketinin yamalar devreye girdiği sıralarda gerçek dünyadaki ilk istismar girişimlerini tespit ettiğini, ancak başarılı bir ihlali doğrulayamadığını bildiriyor. Hadrian, SecurityWeek'e yamalar yayınlanmadan önce bile, PHP'nin oturum yükleme-ilerleme kod yoluna yoğunlaşan büyük ölçekli istismar girişimleri gözlemlediğini söyledi. Patchstack, Cloudflare ve Vega, açıklama günü girişimler kaydetti ve Amazon, yamaların yayınlanmasından dört gün önce istismar girişimleri tespit ettiğini söyledi.

PHP'nin ölçeği bunu neden önemli kılıyor

Wikipedia'ya göre PHP, Danimarka-Kanada kökenli programcı Rasmus Lerdorf tarafından oluşturuldu, ilk olarak 1995'te yayınlandı ve web siteleri oluşturmak için hâlâ en yaygın kullanılan sunucu tarafı betik dillerinden biri olmaya devam ediyor. Aynı kaynak, Kasım 2025 itibarıyla PHP destekli web sitelerinin yarısından fazlasının hâlâ desteklenmeyen PHP 7 dalını çalıştırdığını, yaklaşık %9,7'sinin ise yıllar önce kullanımdan kaldırılan PHP 5'te olduğunu belirtiyor; güvenlik araştırmacıları bu eski yazılım kalıbının daha geniş PHP ekosisteminde hızlı yamalamayı zorlaştırdığını söylüyor.