PHP2Shell, PHP programlama dilindeki iki kritik açık için kullanılan addır: CVE-2026-109618 ve CVE-2026-109619. PHP ekibine göre bu açıklar kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına yol açabilir. Her iki açık CVSS v4.0 ölçeğinde 9,2 önem puanı aldı. PHP, 21 Ekim 2026’da acil güvenlik sürümlerini yayımladı.
PHP2Shell nedir?
PHP, web siteleri ve uygulamalarında kullanılan sunucu taraflı bir programlama dilidir. PHP2Shell adı, hazırlanmış bir web isteğinin savunmasız sunucuda komut çalıştırmaya dönüşebileceği olası yolu anlatır. Google Cloud’un teknik özetine göre açıkların biri bellek yetersizliği hatası sırasında PHP’nin belleği yönetme biçimiyle, diğeri ise serbest bırakılan belleğe ait eski istek verilerinin bir işçi süreçte kalabilmesiyle ilgilidir. Sorun PHP çalışma ortamının kendisindedir; bu nedenle site temasını veya eklentilerini güncellemek tek başına yeterli olmaz.
Uzaktan kod çalıştırma başarılı olursa saldırgan, etkilenen web hizmeti sürecinin izinleriyle işlem yapabilir. Sunucunun izin ve yapılandırmasına bağlı olarak dosyalara veya uygulama sırlarına erişme, site içeriğini değiştirme ya da daha geniş bir ihlale ilerleme riski doğabilir. Etkinin boyutu değişir; savunmasız bir sürümün kullanılması tek başına belirli bir sitenin ele geçirildiğini kanıtlamaz.
Hangi PHP sürümleri etkilendi?
Google Cloud, PHP 5.4’ten PHP 8.5.11’e kadar olan sürümlerin etkilendiğini bildiriyor. PHP projesi PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 yamalı sürümlerini yayımladı. PHP 8.1 ve daha eski sürümler kullanım ömrünü tamamladı ve proje bu sürümler için düzeltme sunmuyor. Bu sürümleri kullanan site yöneticileri, barındırma sağlayıcılarıyla desteklenen bir sürüme geçiş planlamalı.
Site yöneticileri şimdi ne yapmalı?
- Barındırma sağlayıcınıza canlı sitenin gerçekten kullandığı PHP sürümünü sorun; ayrı işçi süreçleri ve test ortamlarını da kontrol edin.
- Desteklenen bir dalın en yeni yamalı sürümüne gecikmeden yükseltin ve değişikliğin etkinleştiğini doğrulayın.
- Sağlayıcı hemen yama uygulayamıyorsa güvenli güncelleme hazırlanırken etkilenen PHP hizmetini yalıtma veya geçici olarak devre dışı bırakma seçeneğini sorun. PHP projesi tam bir geçici çözüm bulunmadığını, güvenli çözümün güncelleme olduğunu belirtiyor.
- Özellikle açıklamanın yapıldığı dönemdeki olağandışı istekler veya beklenmeyen dosya değişiklikleri için sunucu ve uygulama kayıtlarını inceleyin. İhlal şüphesi varsa sağlayıcıya veya olay müdahale uzmanına başvurun; açığa çıkmış kimlik bilgilerini yenileyin ve gerekirse temiz bir yedekten dönün.
Amazon Threat Intelligence, PHP2Shell’in kamuya açıklanmasından dört gün önce, 17 Ekim’de bir tuzak sunucuya yönelik istismar girişimi tespit ettiğini bildirdi. Bu, erken hedefleme faaliyetine işaret eder; belirli bir web sitesinin saldırıya uğradığını veya ele geçirildiğini kanıtlamaz.
Kaynaklar ve fotoğraf kredisi
PHP güvenlik sürümleri · Google Cloud teknik özeti · Amazon Threat Intelligence. Fotoğraf: Tony Webster, CC BY 2.0.