CISA, PHP2Shell Güvenlik Açıklarının Saldırılarda Kullanıldığını Doğruladı
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), PHP2Shell adıyla takip edilen iki kritik güvenlik açığını aktif olarak istismar edilen güvenlik kusurları kataloğuna ekledi. CVE-2026-109618 ile CVE-2026-109619 kodlarıyla izlenen açıklar, saldırganların yama uygulanmamış sistemlerde uzaktan kod yürütmesine (RCE) olanak tanıyabiliyor. CISA, federal kurumlara güvenlik açıklarını gidermeleri için son tarih verirken diğer kuruluşlara da risk temelli güvenlik açığı yönetimi kapsamında hızlı önlem almaları çağrısında bulundu.
Güvenlik Açıkları Yamalar Yayınlanmadan Önce Hedef Alındı
CISA, PHP2Shell olarak bilinen iki güvenlik açığını Known Exploited Vulnerabilities (KEV) kataloğuna ekleyerek söz konusu kusurların saldırılarda kullanıldığına ilişkin uyarısını güçlendirdi. CVE-2026-109618 ve CVE-2026-109619 numaralı açıklar, gerekli koşullar oluştuğunda ayrıcalıklı erişime sahip olmayan saldırganların uzaktaki sistemlerde kod çalıştırmasına yol açabiliyor.
Güvenlik açıklarının istismarı yüksek karmaşıklık gerektiren saldırılar kapsamında değerlendiriliyor. Buna rağmen açıkların yama uygulanmamış sistemlerde uzaktan kod yürütme riski oluşturması, PHP tabanlı uygulamaları çalıştıran kurumlar açısından hızlı müdahaleyi önemli hale getiriyor.
PHP güvenlik ekibi, iki açığa yönelik yamaları 21 Ekim 2026 Çarşamba günü yayınladı. Ekip, yamalar yayınlanmadan bir gün önce güvenlik sorumlularına güncellemeleri erişime açılır açılmaz kurmaları çağrısında bulundu.
PHP2Shell açıklarına ilişkin ayrıntılar, CVE kimlikleri ve kritik altyapı sağlayıcılarıyla paylaşılan azaltma önlemleri de dahil olmak üzere, yamalar kullanıma sunulmadan önce internete sızdı. Aynı dönemde bazı kavram kanıtlama (PoC) istismar kodları da çevrim içi ortamlarda yayımlandı. PHP güvenlik ekibi, kamuya açık hale gelen örneklerin hiçbirinin çalışır durumda olmadığını belirtti.
Cloudflare, Amazon, Hadrian, watchTowr, Previdian ve Patchstack gibi siber güvenlik şirketleri de açıklar kamuoyuna duyurulmadan önce geniş çaplı istismar girişimleri tespit etti. Şirketler, gözlemledikleri girişimleri başarısız olarak sınıflandırdı.
Amazon Threat Intelligence araştırmacıları ise saldırganların PHP2Shell açıklarını güvenlik yamalarının yayınlanmasından dört gün önce hedef almaya başladığını bildirdi. Daha sonraki bir bulgu, saldırıların yalnızca hazırlık aşamasında kalmadığına ilişkin kanıt sundu.
Perplexity bünyesinde tespit ve müdahale çalışmalarını yöneten Adel Karimi, hafta sonu gerçek saldırılarda istismar kanıtı elde edildiğini doğruladı. Araştırmacıların tuzak sistemleri, PHP 8.4.26 çalıştıran bir Apache mod_php kurulumuna yönelik uzaktan kod yürütme girişiminin başarılı olduğuna ilişkin kayıtlar tuttu.
CISA, PHP2Shell açıklarını pazartesi günü KEV kataloğuna ekledi ve Federal Sivil Yürütme Organı kurumlarına sistemlerini perşembe gününe kadar güvence altına alma talimatı verdi. Kurumların uyması gereken takvim, Bağlayıcı Operasyonel Direktif 26-04 (BOD 26-04) kapsamında belirlendi.
CISA, aktif biçimde istismar edilen güvenlik açıklarının kötü niyetli aktörler tarafından sık kullanılan saldırı yolları arasında yer aldığını ve federal kurumlar için önemli risk oluşturduğunu vurguladı. Direktif yalnızca ilgili federal kurumları kapsasa da ajans, tüm kuruluşlara KEV kataloğundaki açıkları önceliklendirerek risk temelli güvenlik açığı yönetimi uygulamalarını önerdi.
CISA, devam eden PHP2Shell saldırılarının kapsamına ilişkin ek ayrıntıları henüz paylaşmadı. Bu nedenle saldırılardan etkilenen sistemlerin toplam sayısı ve saldırganların kullandığı yöntemlerin kapsamı konusunda kesin bir değerlendirme bulunmuyor.
PHP2Shell açıkları, PHP tabanlı uygulamaları çalıştıran kuruluşların internet üzerinden erişilebilen sistemlerini gözden geçirmesini gerektiriyor. Güvenlik ekiplerinin öncelikle etkilenen PHP sürümlerini belirlemesi, ilgili yamaları uygulaması ve internet üzerinden erişilebilen servisleri denetlemesi gerekiyor. Kuruluşların ayrıca güvenlik günlüklerini inceleyerek olası istismar girişimlerini araştırması önem taşıyor.
VirusTotal tahminlerine göre PHP, web sitelerinin yaklaşık yüzde 70’inde kullanılıyor. Aynı tahminler, internete açık 5,1 milyondan fazla PHP sunucusu bulunduğunu ve yaklaşık 3,8 milyon örnekte saldırılara açık en az bir portun erişilebilir olduğunu gösteriyor. Bu rakamlar, PHP altyapısındaki güvenlik açıklarının geniş bir sistem grubunu ilgilendirebileceğine işaret ediyor.
PHP güvenlik ekibi, 23 Ekim Cuma günü CVE-2026-115560 numarasıyla izlenen başka bir uzaktan kod yürütme açığı için de azaltma önlemleri paylaştı. Henüz yaması bulunmayan bu kusur, alışılmadık bir yapılandırma ile uygulama kodu birleşimine sahip sistemlerde istismar edilebiliyor. Bu nedenle kuruluşların yalnızca PHP2Shell açıklarına odaklanmayıp ilgili güvenlik duyurularını ve yapılandırma risklerini de takip etmesi gerekiyor.
