PHP2Shell: Sitelerin çoğunu etkileyen PHP açığı yamalandı

PHP geliştirme ekibi 21 Ekim'de dilin çekirdeğindeki iki kritik güvenlik açığı için acil güncelleme yayımladı. Açıklar CVE-2026-109618 ve CVE-2026-109619 numaralarıyla izleniyor ve araştırmacılar tarafından PHP2Shell adıyla anılıyor. İkisi de CVSS 4.0 ölçeğinde 9,2 puan aldı. Saldırgan, hiçbir hesaba giriş yapmadan, yalnızca özel hazırlanmış bir web isteğiyle sunucuda kendi kodunu çalıştırabiliyor. Açıkları Wiz Research ekibi buldu; PHP ekibi, Calif ve OpenAI ile birlikte düzeltmeyi koordine etti. Planlanan açıklama tarihi 22 Ekim'di, ancak ayrıntılar bir gün önce sızınca yamalar 21 Ekim'e çekildi.

Wiz'e göre son on yılda çıkan her PHP sürümünde bu hatalardan en az biri var; etkilenen sürümler PHP 5.4'e kadar uzanıyor. Açık uygulama kodunda değil, PHP'nin motorunda olduğu için yalnızca "Merhaba Dünya" yazan bir sayfa bile risk altında. Censys'in taramasına göre internete açık yaklaşık 2,58 milyon sunucu ve 54,9 milyon web varlığı PHP çalıştırıyor. WordPress, Drupal, Joomla ve Magento gibi yaygın sistemlerin hepsi PHP üzerinde çalıştığı için dolaylı olarak etkileniyor; Wiz, güncel WordPress, Drupal ve Joomla kurulumlarında kimlik doğrulamasız uzaktan kod çalıştırmayı gösterdi. Sansec de Magento 2.4.9 dahil on bir PHP uygulamasında aynı sonucu doğruladığını açıkladı. Düzeltilmiş sürümler 8.5.12, 8.4.27, 8.3.36 ve 8.2.35.

Ayrıntıların erken sızması saldırganlara zaman kazandırdı. Cloudflare, yamadan önce ilk istismar girişimlerini gördüğünü ve güvenlik duvarı kurallarını devreye aldığını, saldırganların bu kuralları aşmak için yüklerini değiştirdiğini bildirdi. Güvenlik şirketi watchTowr 21 Ekim öğleden sonra her iki açık için de aktif istismar girişimleri tespit etti. Patchstack, barındırma iş ortaklarından birden fazla istismar vakası bildirimi aldığını yazdı. Öte yandan 21 Ekim itibarıyla belirli bir sunucuya başarılı sızma bağımsız olarak doğrulanmadı. Önlem olarak Hollanda'da DigiD, MijnOverheid ve meclis sitesi, Finlandiya'da bazı kamu siteleri ve İK yazılımı BambooHR hizmetlerini geçici olarak kapattı.

Uzaktan kod çalıştırma (RCE), saldırganın sunucuya erişim izni olmadan oraya istediği komutu çalıştırtabilmesi demek; site içeriğini değiştirmekten veritabanını çalmaya kadar her şeyin önünü açıyor. Wiz ayrıca uygulamadan bağımsız bellek sızıntısı gösterdi: PHP işçisinin belleği okunarak şifre, oturum anahtarı ve API anahtarları ele geçirilebiliyor. Açıklar, bellek yetersizliği gibi ölümcül hatalardan sonra geride kalan bozuk durumdan kaynaklanıyor. Araştırmacılar, yapay zekâ modellerinin bu hataları çalışan saldırılara dönüştürmeyi hızlandırdığını ve normalde bir ekibin aylarca süren işini tek kişinin bir haftada yapabildiğini söylüyor.

Wiz, güncellemenin yayılmasının uzun süreceğini öngörüyor ve durumu 2021'deki Log4Shell'e benzetiyor. PHP 8.1 ve daha eski sürümler artık resmî güncelleme almıyor; ekip 7.4, 8.0 ve 8.1 için yalnızca kaynak kodu düzeltmeleri yayımladı. PHP 8.2'nin destek süresi de 31 Aralık 2026'da bitiyor. Paylaşımlı barındırmada PHP sürümünü genellikle site sahibi değil sağlayıcı seçtiği için, çok sayıda küçük sitenin güvenliği önümüzdeki günlerde barındırma şirketlerinin hızına bağlı olacak. Patchstack, internette dolaşan resmî olmayan "düzeltme" eklentilerine ve kopyala-yapıştır kodlara karşı uyarıyor; tek tam çözüm PHP'nin kendisini güncellemek.

Siten WordPress, WooCommerce, Joomla ya da başka bir PHP sistemi üzerinde çalışıyorsa bu hafta yapman gerekenler kısa:

• PHP sürümünü kontrol et. Barındırma panelinden ya da sağlayıcına sorarak sunucunun 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 ya da daha yeni bir sürümde olduğunu doğrula. 8.1 ve altındaysan yükseltmeyi ertelemenin sırası değil.
• Sağlayıcından yazılı cevap iste. Paylaşımlı barındırmada güncellemeyi sen yapamazsın; ne zaman yapıldığını öğren ve not al.
• Şüpheli işaretleri izle. Art arda gelen 500 hataları, bellek sınırı uyarıları ve olağandışı büyük oturum çerezleri saldırı belirtisi olabilir. Bunları görürsen site şifrelerini ve API anahtarlarını yenile.
• Statik siten varsa rahat ol. PHP çalıştırmayan, yalnızca HTML dosyası sunan siteler bu açıktan doğrudan etkilenmiyor.