PHP2Shell: hükümetleri çevrimdışı bırakan iki kritik PHP açığı

PHP2Shell, herhangi bir tekil web sitesinde veya uygulamada değil, PHP programlama dilinin kendisinde bulunan iki açığın takma adıdır. Bu açıklar CVE-2026-109618 ve CVE-2026-109619 olarak takip edilmektedir ve PHP'nin kendi güvenlik ekibi, PHP projesinin resmi 2026 arşiv sayfasına göre her ikisini de CVSS v4.0 ölçeğinde 10 üzerinden 9,2 olarak, yani 'kritik' seviyede derecelendirmiştir.

İki açık gerçekte ne yapıyor

PHP projesinin kendi bildirimine göre, CVE-2026-109618, PHP'nin bir web isteğini işlerken belleğinin tükenmesiyle tetiklenir. Bellek yetersizliği hatası, dahili istek verileri tam olarak kurulmadan önce PHP'yi kesintiye uğratabilir ve ardından gelen temizleme süreci bu tamamlanmamış veriyi geçerli kabul edebilir; bu da bellek bozulmasına ve uzaktan kod yürütülmesine yol açabilir.

CVE-2026-109619, PHP tarafından 'bayat küresel durum' (stale global state) hatası olarak tanımlanmaktadır: bir ziyaretçinin isteğine ait veriler, temizlenmesi gerektikten sonra bile bir sunucunun belleğinde kalabilir ve aynı işçi (worker) süreci tarafından işlenen bir sonraki ziyaretçinin isteği, bu kalıntılar üzerinde işlem yapıyor gibi davranabilir. Küresel bir izleme sistemleri ağı işleten güvenlik firması watchTowr, her iki hatanın da bir web sitesinin kendi kodu çalışmaya başlamadan önce, hiçbir giriş yapılmasına gerek kalmadan saldırganın kod çalıştırmasına izin verdiğini belirtti.

Hollandalı güvenlik firması Sansec ek teknik ayrıntılar sundu ve istismara açılan yollardan birinin PHP'nin oturum 'yükleme ilerlemesi' (upload progress) özelliğinden geçtiğini ve başka, ilgisiz isteklerden kalan şifreler, API anahtarları ve şifreleme anahtarları gibi verileri sunucu belleğinde ifşa edebileceğini söyledi.

Neden bu kadar çok web sitesi risk altında kaldı

Bu hatalar PHP motorunun içinde yer aldığından, hangi içerik sistemi üzerinde çalıştığına bakılmaksızın PHP ile oluşturulmuş herhangi bir web sitesi veya uygulama potansiyel olarak risk altındadır. Sansec'e göre bu kapsama WordPress, Drupal, Joomla, Magento ve Nextcloud gibi yaygın olarak kullanılan platformlar da dahildir. PHP, web'de hâlâ en yaygın kullanılan sunucu taraflı programlama dillerinden biridir ve bu, açıkların geniş kapsamlı, büyük ölçekli bir risk oluşturduğunun kabul edilme nedenlerinden biridir.

Wiz'deki güvenlik araştırmacıları açıkları tespit etti ve Help Net Security, araştırmacıların uzun süredir bilinen ancak istismarı zor olan bir bellek yönetimi sorununu çalışan bir istismar koduna dönüştürmenin teknik eşiğini öncü (frontier) yapay zeka araçlarındaki ilerlemelerin önemli ölçüde düşürdüğünü söylediğini bildirdi.

Hükümetler neden siteleri çevrimdışı aldı

Açıklara ilişkin teknik ayrıntılar, PHP'nin resmi yaması hazır olmadan önce sızdırılarak savunmacıların bir düzeltme kamuya açıklanmadan önce normalde sahip oldukları avans süresini kısalttı. Güvenlik blogu Safeguard'ın haberine göre, Hollanda, 21 Ekim 2026'da kendi ulusal siber güvenlik merkezinin sitesi, Overheid.nl, Temsilciler Meclisi web sitesi ve birçok hastane ile siyasi parti sitesi dahil olmak üzere hizmetleri önlem amacıyla devre dışı bıraktı. Finlandiya'nın devlet BT sağlayıcısı Valtori, hükümet ağ hizmetlerini önlem amacıyla çevrimdışı aldı ve Danimarka'nın belediye BT şirketi Kombit, ulusal bir okul iletişim platformu dahil birçok hizmeti kapattı. Fransa İçişleri Bakanlığı, PHP düzeltmesinin uygulanmasını beklediğini belirterek prefektura ve yerel yönetim sitelerini geçici olarak kapattı. Almanya'nın federal BT sağlayıcısı ITZBund ve Belçika Dışişleri Bakanlığı da siteleri çevrimdışı aldı, ancak Safeguard'ın bildirdiğine göre farklı gerekçeler sundular: ITZBund, herhangi bir güvenlik olayından haberdar olmadığını söylerken, Belçika Dışişleri Bakanlığı saldırı raporlarına atıfta bulundu.

watchTowr, Attacker Eye adlı bal küpü (honeypot) ağının, sızıntıdan bir gün sonra ve PHP'nin düzeltmesini yayınladığı gün olan 21 Ekim 2026'dan itibaren gerçek dünya istismar girişimlerini kaydettiğini bildirdi.

İki açığın karşılaştırması

Sitenizi ve verilerinizi nasıl korursunuz

1. PHP üzerinde bir web sitesi işletiyorsanız: düzeltilmiş bir sürüme güncelleyin — PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 — ve ardından tüm PHP işçi (worker) süreçlerini yeniden başlatın; PHP'nin bildirimi ve runZero, güncellemenin tek tam çözüm olduğunu vurgulamaktadır.
2. Artık resmi güncelleme almayan PHP 7.4, 8.0 veya 8.1 sürümlerini kullanıyorsanız, Linux dağıtımınızdan veya barındırma sağlayıcınızdan geriye taşınmış (backported) bir güvenlik yaması edinin, çünkü PHP arşiv sayfasına göre PHP'nin kendi projesi bu dalları artık desteklememektedir.
3. Yama uygulayana kadar, runZero sunucu veya proxy seviyesinde geçici adımlar önermektedir: uygulamaların geçersiz kılamayacağı bellek sınırları koyun, düşük istek boyutu ve çok parçalı (multipart) yükleme sınırları uygulayın ve oturumun 'yükleme ilerlemesi' özelliğini devre dışı bırakın.
4. Web sunucunuzun erişim günlüklerini olağandışı multipart/form-data POST istekleri açısından kontrol edin; Sansec, bunların bilinen istismar girişimlerinde yaygın olduğunu söylüyor, ayrıca beklenmedik PHP bellek sıçramalarına veya ölümcül (fatal) hatalara dikkat edin.
5. Sıradan bir internet kullanıcısı olarak, kontrol etmediğiniz sunuculara yama uygulayamazsınız, ancak kullandığınız hizmetlerden gelen ihlal bildirimlerini takip edebilir, her hesap için benzersiz bir şifre kullanabilir ve sızdırılmış bir şifrenin tek başına hesaplarınıza erişim için yeterli olmaması için iki faktörlü kimlik doğrulamayı açabilirsiniz.

Hâlâ belirsiz olan ne

İncelenen haberlere göre, birkaç hükümetin siteleri çevrimdışı almaya karar verdiği sırada aktif istismarın ne kadar yaygın olduğu konusunda uzmanlar arasında görüş ayrılığı vardı; Safeguard, Hollanda hükümetinin harekete geçtiğinde aktif istismara dair hiçbir belirti olmadığını söylediğini bildirirken, watchTowr ayrı olarak ertesi gün kendi bal küplerine (honeypot) karşı gerçek saldırı girişimlerini doğruladı.