PHP projesi, 21 Ekim 2026'da, güvenlik araştırmacıları ve satıcıların "PHP2Shell" olarak adlandırdığı iki kritik güvenlik açığını düzeltmek için acil güncellemeler—8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri—yayınladı; bu bilgi Help Net Security ve Kanada Siber Güvenlik Merkezi'ne dayanıyor. CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen açıkların her ikisi de kritik düzeyde ciddiyet taşıyan sorunlar olarak tanımlanıyor; bu makale için incelenen kaynaklar resmi bir sayısal CVSS puanı belirtmedi.
Güvenlik açığı ne yapıyor?
Bleeping Computer ve Help Net Security'ye göre, her iki açık da PHP'nin anormal koşullar altında istekleri ele alış şeklindeki bellek güvenliği hatalarından kaynaklanıyor. CVE-2026-109618, dahili istek verileri yalnızca kısmen hazırlanmışken bir bellek yetersizliği hatasının PHP'yi kesintiye uğratması durumunda ortaya çıkıyor; böylece temizleme rutinleri daha sonra bu eksik veriyi geçerli olarak işliyor. CVE-2026-109619 ise bayat durum (stale-state) kaynaklı bir açık: bir isteğe bağlı bellek serbest bırakılabiliyor ve ardından aynı çalışan (worker) üzerindeki sonraki bir istek tarafından, düzgün şekilde sıfırlanmadan önce yeniden kullanılabiliyor; bu da veri ifşasına veya kod çalıştırılmasına yol açabiliyor.
Kanada Siber Güvenlik Merkezi, her iki açığı da Use-After-Free güvenlik açıkları (CWE-416) olarak sınıflandırdı ve başarılı bir saldırının, kimliği doğrulanmamış bir saldırganın, parola ya da herhangi bir kullanıcı eylemine gerek kalmadan sunucuda keyfi kod çalıştırmasına izin verdiğini belirtti. Kurum, mod_php dağıtımlarının en yüksek riske sahip olduğunu söyledi; çünkü kanıtlanmış bir istismar, herhangi bir uygulama kodu çalışma şansı bulmadan önce hatayı tetikleyebiliyor — bu tanım, Bleeping Computer'ın bildirdiğine göre PHP güvenlik ekibi tarafından da kullanıldı.
Bleeping Computer ve Kanada tarafından yayınlanan uyarıya göre, bu hata PHP-FPM, Apache'nin mod_php'si, php-cgi, FrankenPHP ve LiteSpeed dahil olmak üzere web isteklerine hizmet veren her PHP kurulumunu etkiliyor. Fortune'un bildirdiğine göre, altta yatan kod PHP'de on yıldan fazla süredir mevcuttu; ancak resmi düzeltmeler, halen aktif olarak desteklenen 8.2–8.5 dalları için yayınlandı ve destek ömrü sona ermiş olan 7.4 ile 8.1 arası sürümler için kaynak düzeyinde geriye taşımalar (backport) sunuldu.
Nasıl bulundu ve yapay zekânın burada neden önemi var?
Fortune'a göre, hatalı kod PHP'de on yıldan fazla süredir mevcuttu; ancak Ağustos 2026'da üç farklı taraf bu açığa birbirinden bağımsız olarak ulaştı: güvenlik firması Wiz, Calif adlı bir şirket ve OpenAI; bu taraflar bir düzeltme ve koordineli açıklama için PHP Foundation ile birlikte çalıştı. Fortune, Wiz'in zayıflığı anlamak ve çalışan bir istismar koduna dönüştürmek için OpenAI'nin GPT-5.6 Sol'u ve Google'ın Gemini 4 Argon'u dahil olmak üzere yapay zeka modellerini kullandığını bildirdi. Wiz, Fortune'a bu durumun yapay zekâ tarafından yönlendirilen bir değişimi temsil ettiğini söyledi; savunmasız kodun on yıldan fazla süredir var olduğunu, ancak değişen şeyin araştırmacıların bu zayıflıkları anlamak ve çalışan bir istismara dönüştürmek için yapay zekâyı kullanabilme yeteneği olduğunu belirtti.
Fortune, OpenAI'nin kendi açıklamasında, bu olayın yapay zekânın internet ölçeğinde etkiye sahip güvenlik açıklarını ortaya çıkarmaya nasıl yardımcı olabileceğini gösterdiğini söylediğini de bildirdi; şirket aynı zamanda aynı yapay zekâ yeteneklerinin saldırganların saldırı araçları ve istismarları daha hızlı geliştirmesine de yardımcı olabileceğini kabul etti.
İstismar girişimleri ve Cloudflare'in ilk tepkisi
Cloudflare, kendi blogunda, 21 Ekim'de UTC 03:02'de Web Uygulama Güvenlik Duvarı (WAF) kurallarını etkinleştirdiğini söyledi; şirket bunu güvenlik açıklarının kamuya açıklanmasından kabaca dokuz saat önce olarak tanımladı. ppc.land tarafından özetlenen Cloudflare gönderisine göre şirket, ücretsiz katman müşterileri için yedi "Generic Rules – Anomalous Execution" kuralı ve ücretli planlar için ayrı bir dizi yedi eşdeğer kural, ayrıca hem isteği hem de yanıtı aynı işlem içinde kontrol eden bir ek kural devreye aldı. Aynı gönderi, Cloudflare'in saldırganların daha sonra yeni kuralları aşmaya yönelik görünür bir girişimle istismar yüklerini değiştirdiğini gözlemlediğini belirtti; ancak kesin saldırı hacmi rakamları yayınlanmadı.
Bleeping Computer'a göre, Amazon'un Tehdit İstihbaratı ekibi ayrı olarak, açıklara yönelik istismar girişimlerini—resmi yamadan dört gün önce olan—17 Ekim 2026'dan itibaren tespit ettiğini söyledi; bu da bazı tehdit aktörlerinin genel açıklamadan önce istismar ayrıntılarına erişimi olduğunu gösteriyor. Buna karşılık, Kanada Siber Güvenlik Merkezi'nin uyarısı, yazıldığı sırada aktif bir istismar tespit etmediğini, ancak durumun hızla değişebileceği konusunda uyardığını belirtti. Bu iki değerlendirme, gerçek bir çelişkiden ziyade farklı gözlem noktalarını ve zamanlamayı yansıtıyor.
Japonya: hükümet yama ya da kapatma çağrısı yapıyor
Güvenlik açığı Japonya'da özellikle yoğun ilgi çekti. Temmuz 2025'te yeniden yapılandırılan NISC'nin ardılı olan Japonya Ulusal Siber Güvenlik Ofisi, operatörleri web sitelerinin PHP çalıştırıp çalıştırmadığını kontrol etmeye ve hızlı hareket etmeye çağıran bir uyarı yayınladı; bu bilgi, kurumun açıklamasına dayanan bir BigGo Finance haberinden geliyor. Başbakan Sanae Takaichi, X üzerinde bunu "herkesin bu gece yanıt vermesi gereken acil bir talep" olarak nitelendirdi ve BigGo Finance'in bildirdiğine göre, anında yama uygulamanın mümkün olmaması durumunda bir web sitesini geçici olarak durdurmanın riski azaltmak için etkili bir yol olabileceğini söyledi.
BigGo Finance raporuna göre bu yönlendirmenin ardından, çocuk bakımı yönetim platformu CoDMON, kart oyunu Shadowverse: Worlds Beyond, çevrimiçi mağaza oluşturucusu BASE ve barındırma sağlayıcısı Sakura Internet dahil olmak üzere birçok Japon çevrimiçi hizmeti, 21 Ekim gecesi acil bakıma girdi. Aynı rapora göre, PHP'nin resmi yamaları, başlangıçta duyurulan saat 23:00 hedefinden önce, Japonya saatiyle 22:40 civarında yayınlandı.
Ayrı olarak Internet Watch (Impress), Japon iletişim sağlayıcısı Baltec'in, kişisel verilerin ifşa edilmiş olabileceği yetkisiz erişimi tespit ettikten sonra bulut, rezervasyon, satış noktası ve harcama yönetimi araçlarını kapsayan yaklaşık 23 hizmeti durdurduğunu bildirdi. Baltec, olayı başlangıçta bir PHP güvenlik açığını hedef alan siber saldırıya bağladı; ancak şirket aynı gün, PHP ile ilgili güvenlik tedbirlerini gözden geçirirken iki sorunu birbirine karıştırdığını söyleyerek gerçek nedenin PHP açığı değil kendi hizmetindeki bir güvenlik açığı olduğunu belirten bir düzeltme yayınladı. Internet Watch'a göre Baltec, hizmetlerin 26 Ekim'de yeniden başlatılmasını hedefledi.
Etki büyüklüğü
Fortune'un bildirdiğine göre, PHP, WordPress siteleri, Wikipedia, Microsoft.com ve Archive.org dahil olmak üzere dünya çapında tahmini web sitelerinin %70'ine güç veriyor; tüm web sitelerinin yaklaşık %40'ının, kendisi de PHP'ye bağlı olan WordPress üzerinde çalıştığı belirtiliyor. Fortune, internete açık olan ve potansiyel olarak güvenlik açığı bulunan 22,6 milyon PHP örneğini belirleyen ilk bir taramayı da aktardı.
PHP2Shell'e genel bakış| Öğe | Ayrıntı |
|---|
| CVE tanımlayıcıları | CVE-2026-109618 ve CVE-2026-109619 |
|---|
| Ciddiyet | İncelenen tüm kaynaklarda kritik olarak tanımlandı; bu kaynaklarda resmi sayısal bir CVSS puanı bulunamadı |
|---|
| Güvenlik açığı türü | Use-after-free / bellek bozulması (CWE-416) |
|---|
| Yamalanan sürümler | PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 (7.4–8.1 için geriye taşımalar) |
|---|
| Açıklama / yama tarihi | 21 Ekim 2026 |
|---|
| Bildirilen ilk istismar girişimleri | 17 Ekim 2026 (Bleeping Computer'ın aktardığına göre Amazon Tehdit İstihbaratı'na göre) |
|---|
| PHP çalıştıran web'in payı | Fortune'a göre ~%70 |
|---|
Hâlâ bilinmeyenler
Mevcut haberlere göre, hiçbir kaynak, önleyici kapanmaların aksine, doğrudan PHP2Shell istismarından kaynaklanan büyük ölçekli başarılı bir ihlali doğrulamıyor. Toplam istismar girişimlerine ilişkin rakamlar, kaynağa ve ölçüm penceresine bağlı olarak değişiyor: Yahoo! News üzerinden aktarılan Japonca haberlerde Cloudflare'in CEO'sunun, girişim sayılarının açıklamadan önceki binlerden, 45 dakika içinde on binlere yükseldiğini ve iki saat içinde yüz binlere ulaştığını, o haberin yapıldığı sırada toplamların milyonlara ulaştığının belirtildiğini söylediği aktarıldı; Cloudflare'in kendi blog gönderisi bu belirli rakamları tekrarlamadı. Okuyucular, kesin saldırı hacmi rakamlarını geçici ve bu durumu takip eden kuruluşlar tarafından revize edilebilecek bilgiler olarak değerlendirmelidir.
