PHP2Shell: İki Kritik PHP Açığı Küresel Site Kapatmalarını Tetikledi

Web'in sunucu tarafı kodunun büyük bir kısmını çalıştıran betik dili PHP, Ekim 2026'da açıklanan iki kritik güvenlik açığıyla sarsıldı. Toplu olarak "PHP2Shell" lakabıyla anılan ve CVE-2026-109618 ile CVE-2026-109619 olarak takip edilen bu hatalar, hesabı veya parolası olmayan bir saldırganın etkilenen bir web sunucusunda keyfi kod yürütmesine izin veriyor.

Güvenlik açıkları ne yapıyor

Güvenlik firması watchTowr'a göre, CVE-2026-109618, PHP'nin gelen bir isteği kurma işleminin ortasında belleğin tükenmesi sonucu iç istek verilerinin yalnızca kısmen başlatılmış halde kalmasıyla ortaya çıkıyor; PHP'nin temizlik rutini daha sonra bu geçersiz veriyi hatalı bir şekilde geçerli sayıyor. CVE-2026-109619 ise bir isteğe bağlı iç durumun, işaret ettiği bellek zaten serbest bırakıldıktan sonra da hayatta kalmasını içeriyor; böylece aynı çalışan (worker) işlem tarafından ele alınan sonraki bir istek, normal başlatma bu durumu sıfırlamadan önce bu eski (stale) durumu kullanabiliyor.

Açıkları inceleyen araştırma firması Wiz, Help Net Security'ye bu sorunların yıllardır fark edilmeden kaldığını ve dilde bulunan en ciddi açıklar arasında yer aldığını söyledi. Tam uzaktan kod yürütmenin ötesinde, watchTowr bu hataların PHP çalışan işlemlerini çökertebildiğini, keyfi dosya okumaya izin verebildiğini veya sunucu belleğini sızdırabildiğini belirtti.

Kim buldu ve ne zaman

İki açık da ayrı araştırma çalışmaları yoluyla rapor edildi. WatchTowr'un danışma belgesi keşfi Calif'teki güvenlik araştırma ekibine atfederken, Help Net Security'nin haberi tespit ve açıklamayı Wiz'deki araştırmacılara bağlıyor. Açıklama zaman çizelgesi alışılmadıktı: ambargo altında kalması amaçlanan detaylar 20 Ekim 2026'da kamuya sızdırıldı ve watchTowr sızdırılan bilginin gerçek olduğunu doğruladı. PHP'nin bakımcıları, 21 Ekim 2026'da 14:00 UTC'de, başlangıçta planlanan 22 Ekim tarihinden bir gün önce yamalar yayınlayarak buna karşılık verdi.

Kapsam: hangi zafiyetli PHP'ler çalışıyor

PHP, web'de en yaygın kullanılan sunucu tarafı dillerden biri olmayı sürdürüyor ve bu açıklar gelen HTTP isteklerini PHP üzerinden işleyen her kurulumu etkileyebiliyor. WatchTowr'a göre etkilenen kurulumlar arasında PHP-FPM, mod_php ile Apache, php-cgi, FrankenPHP ve LiteSpeed bulunuyor; bu da hatanın tek bir uygulamada değil, sunucu katmanının kendisinde yer aldığı anlamına geliyor.

PHP 7.4, 8.0 ve 8.1 artık resmi olarak desteklenmediğinden, watchTowr bu kolları hâlâ çalıştıran siteler için PHP çekirdek projesinden bir yama bulunmadığını söylüyor; ancak Linux dağıtımı veya uzun süreli destek (LTS) tedarikçisi geri taşımaları geçici bir seçenek olarak mevcut olabilir; aksi halde bu kurulumların desteklenen bir sürüm koluna geçmesi gerekiyor. WatchTowr'a göre PHP 7.3 ve daha eski sürümler için hiçbir düzeltme yok. PHP'nin danışma belgesi, yazılımı güncellemeden açıkları tamamen kapatacak hiçbir yapılandırma değişikliği olmadığını belirtiyor.

Etki ve istismar

Help Net Security, Amazon tarafından işletilen bir honeypot ağının 17 Ekim 2026'da — yani kamuya açık yamadan dört gün önce — istismar girişimlerini tespit ettiğini bildirdi; bu da bazı saldırganların istismar detaylarına erken erişimi olduğunu gösteriyor. WatchTowr, kendi "Attacker Eye" honeypot ağının 21 Ekim'deki yama yayınından sonra da gerçek dünyada aktif istismarın sürdüğünü gözlemlediğini söyledi. WordPress, Drupal ve Joomla dahil olmak üzere PHP tabanlı içerik yönetim sistemleri, Laravel tabanlı uygulamalar ve e-ticaret platformları, zafiyetli PHP motorunun üzerinde çalıştıkları için etkilenen kapsamın tamamı içinde yer alıyor.

PHP2Shell Wikipedia girdisinde özetlenen haberlere göre, yama çalışmaları sürerken devlet kurumları, çevrimiçi forumlar, oyun platformları ve altyapıyla bağlantılı bazı siteler, operatörler düzeltmeleri uygularken önlem olarak çevrimdışına alındı. Help Net Security, İngiltere'nin Ulusal Siber Güvenlik Merkezi'nin (NCSC) hemen yama yapamayan kuruluşları bunun yerine zafiyetli sistemleri çevrimdışına almaya çağırdığını bildirdi.

Önem derecesi ve site operatörlerinin yapması gerekenler

WatchTowr'un danışma belgesine göre, PHP'nin kendi geliştiricileri her iki açığı da CVSS v4.0 ölçeğinde 10 üzerinden 9,2 olarak derecelendirdi; bu "kritik" bir puan. Hem PHP'nin danışma belgesine hem de watchTowr'a göre, net çözüm yolu, sunucunun çalıştırdığı kola bağlı olarak PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35'e güncellemek; 7.4, 8.0 veya 8.1 üzerindeki siteler bir dağıtım geri taşımasını kullanmalı veya desteklenen bir kola geçmeli, 7.3 veya daha eski sürümlerdeki sunucular ise hiçbir düzeltmeye sahip olmadığından yükseltme yapmaları gerekiyor.