PHP2Shell Güvenlik Açıkları Gerçek Saldırılarda Kullanılmaya Başlandı
PHP2Shell olarak takip edilen CVE-2026-109618 ve CVE-2026-109619 numaralı iki kritik güvenlik açığının gerçek saldırılarda başarıyla kullanıldığı doğrulandı. Perplexity bünyesinde yürütülen güvenlik araştırmaları, PHP 8.4.26 çalıştıran Apache mod_php sunucusunda uzaktan kod yürütme (RCE) gerçekleştirildiğine ilişkin teknik kanıtlar ortaya koydu. Geliştiricilerin PHP2Shell açıkları için yayımladığı yamaların ardından gelen bu gelişme, internete açık PHP sunucularının güncellenmesi gerektiğini bir kez daha gündeme taşıdı.
PHP2Shell Saldırısında Uzaktan Kod Yürütme Doğrulandı
Perplexity’de tespit ve müdahale çalışmalarını yöneten Adel Karimi, saldırı girişimlerini izlemek için kurduğu tuzak sistemlerde (honeypot) başarılı bir istismara ilişkin kanıtlar kaydetti. Karimi’nin analizine göre saldırgan, yalnızca bir uygulama çökmesine neden olmakla kalmadı; bellek içeriğine erişim sağlayan bir yanıt aldıktan sonra hedef sistemde komut çalıştırmayı da başardı.
Araştırmacının paylaştığı teknik bulgular arasında yaklaşık 800 KiB boyutunda çözümlenmiş bir çerez verisi bulunuyor. Saldırganın, herkese açık istismar kodundaki ofsetleri kullanarak bu veriden elde ettiği bir işlev adresini sonraki yürütme yüküne eklediği belirtildi. İstemcinin yanıtın tamamını aldığı, ardından kabuk komutunun yürütme isteğinin son yakalanan baytından yaklaşık 1,6 milisaniye sonra çalıştığı aktarıldı.
Expel bünyesinde tehdit araştırmaları yapan Marcus Hutchins de Karimi’nin bulgularını doğruladı. Hutchins, elde edilen teknik ayrıntıların PHP2Shell saldırılarının gerçek sistemlerde başarıya ulaştığını gösteren en güçlü kanıtlardan biri olduğunu değerlendirdi.
PHP güvenlik ekibi, CVE-2026-109618 ve CVE-2026-109619 numaralı güvenlik açıklarına yönelik düzeltmeleri 21 Ekim Çarşamba günü yayımladı. Ekip, güncellemeler kullanıma sunulmadan bir gün önce sistem yöneticilerine yamaları hazır olur olmaz kurmaları yönünde çağrıda bulunmuştu.
Açıklardan bazılarına ilişkin teknik ayrıntılar, CVE numaraları ve kritik altyapı sağlayıcılarıyla paylaşılan azaltma önerileri yamalar yayımlanmadan önce internete sızdı. Bazı güvenlik araştırmacıları kavram kanıtlama (PoC) kodları da yayımladı. PHP güvenlik ekibi, o aşamada paylaşılan örneklerin hiçbirinin işlevsel olmadığını bildirdi.
Cloudflare, Hadrian, watchTowr, Previdian ve Patchstack gibi siber güvenlik şirketleri de kamuya açık duyurudan önce istismar girişimleri tespit etti. Ancak bu kuruluşların ilk gözlemlerinde saldırıların başarılı olduğuna ilişkin kanıt bulunmadı. Amazon Threat Intelligence araştırmacıları da yamalar yayımlanmadan dört gün önce PHP2Shell açıklarını hedefleyen faaliyetler belirledi.
Dataminr bünyesindeki Threat Research and Cyber Engineering (TRACE) ekibinin değerlendirmesine göre Karimi’nin bulgularından önceki faaliyetler tarama, sistem özelliklerini belirleme ve çalışmayan istismar kodlarını denemeyle sınırlı kaldı. Ekip, bu aşamada doğrulanmış bir sistem ihlali bulunmadığını aktardı.
PHP güvenlik ekibi, 23 Ekim Cuma günü CVE-2026-115560 numarasıyla izlenen başka bir uzaktan kod yürütme açığı için de azaltma önerileri paylaştı. Bu güvenlik sorununun henüz bir yaması bulunmuyor ve istismar, olağan dışı bir yapılandırma ile uygulama kodu birleşimine sahip sistemleri hedef aldığında gerçekleşebiliyor.
Güvenlik güncellemesi yayımlanana kadar yöneticilerin session.upload_progress.enabled=0 ayarını kullanarak oturum yükleme ilerlemesi özelliğini devre dışı bırakması öneriliyor. Aynı önlem, PHP2Shell yamaları yayımlanmadan önce de olası saldırıların etkisini azaltmak amacıyla tavsiye edilmişti.
Yöneticilerin PHP2Shell açıklarına yönelik yamaları kurması, kullandıkları PHP sürümlerini kontrol etmesi ve internete açık sistemlerde gereksiz hizmetleri sınırlandırması gerekiyor. Yeni CVE-2026-115560 açığı için ise yama çıkana kadar önerilen yapılandırma değişikliğinin uygulanması önem taşıyor.
PHP, web uygulamalarının geliştirilmesinde yaygın olarak kullanılan bir programlama dili olmayı sürdürüyor. VirusTotal tahminlerine göre internet genelinde yaklaşık 5,1 milyon PHP sunucusu dışarıya açık durumda bulunurken bunların yaklaşık 3,8 milyonu saldırılara açık en az bir bağlantı noktasına sahip.
Bu geniş kullanım alanı, PHP güvenlik açıklarının etkisini tek bir uygulama veya kuruma özgü olmaktan çıkarıyor. Özellikle internete açık Apache mod_php kurulumlarının ve güncel olmayan PHP sürümlerini kullanan sunucuların güvenlik durumu yakından izlenmeli. Kuruluşların yama yönetimi, yapılandırma denetimi ve saldırı kayıtlarının incelenmesi süreçlerini birlikte yürütmesi, başarılı istismarların erken tespit edilmesine yardımcı olabilir.
