PHP2Shell Açıklarını Kapatmak İçin Acil Güncellemeler Yayınlandı

PHP güvenlik ekibi, PHP2Shell adı verilen iki kritik uzaktan kod yürütme (RCE) açığı için acil güvenlik güncellemeleri yayınladı. Bu açıklar, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla izleniyor ve tüm PHP kurulumlarını etkiliyor. PHP-FPM, Apache ile mod_php, php-cgi, FrankenPHP ve LiteSpeed gibi web istekleri sunan tüm PHP kurulumları bu durumlardan etkileniyor.

PHP güvenlik ekibi, mod_php için riskin en yüksek olduğunu belirtti. Çünkü burada, kimlik doğrulaması yapılmamış bir isteğin, uygulama kodu çalışmadan önce saldırıyı tetikleyebileceği gösterilmiş durumda. Her iki açık da, bir isteğin anormal bir şekilde sona ermesi durumunda PHP'nin belleğini bozuk bir durumda bırakmasından kaynaklanıyor ve uzaktan kod yürütme sağlamak için kullanılabiliyor.

PHP2Shell Açıklarının Detayları

CVE-2026-109618, bellek yetersizliği korumasını tetikleyen bir dizi zayıflıktan yararlanarak uzaktan kod yürütme sağlarken, CVE-2026-109619 ise kimlik doğrulaması gerektirmeyen heap kullanımı, bellek ifşası ve web işçisinin yetkileriyle uzaktan kod yürütme olanağı sunuyor. Bu durumu önlemek için yöneticilerin, PHP 8.x sürümlerinde PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümlerini derhal kurmaları ve PHP 7 veya daha eski sürümlerden güncellenmeleri öneriliyor.

PHP geliştiricileri, PHP 8.1 ve daha eski sürümlerin artık güncelleme almadığını belirtiyor. Bazı dağıtımlar ve LTS sağlayıcıları geri portlama düzeltmeleri sağlasa da, yöneticilerin bu konuda kendi sağlayıcılarıyla iletişime geçmeleri veya desteklenen bir sürüme yükselmeleri gerektiği vurgulanıyor.

Güvenlik Uyarıları ve Önlemler

PHP güvenlik ekibi, bu açıkların ciddiyeti göz önüne alındığında, PHP 7.4, PHP 8.0 ve PHP 8.1 için minimum kaynak geri portlamaları sağladıklarını belirtti. Kullanıcıların bu güncellemeleri alabilmeleri için hazırlık yapmaları gerektiği konusunda bir uyarı yapıldı. Ayrıca, Cloudflare CTO'su Dane Knecht, şirketin zaten bilinen PHP2Shell istismar yöntemlerini engellemeye yönelik WAF kuralları uyguladığını ve bu iki açığı hedef alan erken saldırılar gözlemlediklerini açıkladı. Ancak, bu korumaların geçici olduğunu ve yöneticilerin güncellemeleri derhal kurmaları gerektiğini vurguladı.

Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC) de, PHP kullanan kuruluşların sistemlerini hemen güncellemeleri veya yamanın uygulanabilir olduğu zamana kadar çevrimdışı tutmaları gerektiğini bildirdi. PHP, açık kaynaklı bir sunucu tarafı web geliştirme dilidir ve tüm web sitelerinin %75 ila %80'ini desteklemektedir. İçerik Yönetim Sistemleri (CMS) kullanan siteler de dahil olmak üzere, WordPress, Joomla ve Drupal gibi birçok platformda kullanılmaktadır.

Sonuç

PHP2Shell açıkları, dünya genelinde 5.1 milyon PHP sunucusunun çevrimiçi olduğunu ve bunların yaklaşık 3.8 milyonunun en az bir portunun açık olduğunu gösteriyor. Bu nedenle, PHP kullanıcılarının bu güvenlik güncellemelerini derhal kurmaları, sistemlerinin güvenliği açısından kritik önem taşıyor.