Ekim 2026'nın son haftası, PHP ile çalışan web siteleri için yılın en kritik güvenlik dönemlerinden biri oldu. Güvenlik topluluğunda "PHP2Shell" adıyla anılan iki ciddi açık, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip ediliyor. İlki bir bellek bozulması (memory corruption) açığı, ikincisi ise PHP'nin dahili istek durumunu (request-state) hatalı biçimde saklamasıyla ilgili. Bu iki zafiyet birlikte kullanıldığında saldırgan, kullanıcı adı veya parola gerekmeden sunucuda uzaktan kod çalıştırabiliyor.
Kısacası, internete açık ve güncellenmemiş bir PHP sunucusu, birkaç özel hazırlanmış HTTP isteğiyle saldırganın komut çalıştırabildiği bir makineye dönüşebiliyor. WordPress, Laravel, özel yazılmış PHP projeleri ya da arka planda PHP kullanan herhangi bir yazılım bu riskin içinde. 59 Medya olarak geliştirdiğimiz PHP tabanlı projelerde de bu tür açıkları yakından takip ediyoruz.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA'nın uyarısına göre açıklar, web isteklerine yanıt veren tüm PHP kurulumlarını etkiliyor. Uyarıda adı geçen ortamlar:
Bu liste paylaşımlı hostinglerden VPS'lere, kurumsal sunuculardan konteyner tabanlı kurulumlara kadar neredeyse her senaryoyu kapsıyor. CISA ayrıca PHP'nin çoğu zaman başka yazılımların içinde bir bileşen olarak çalıştığını ve her zaman doğrudan görünür olmayabileceğini hatırlatıyor.
Güvenlik firması Previdian'ın zaman çizelgesine göre CVE kimlikleri 20 Ekim'de hatalı sürüm bilgileri ve 10.0 olarak iddia edilen bir CVSS puanıyla internette dolaşmaya başladı; PHP daha sonra puanın 9.2 olduğunu doğruladı. PHP ekibi aynı gün kritik bir güvenlik sürümü yayınlayacağını duyurdu ve yayını bir gün öne çekti.
21 Ekim'de PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri yamalarla birlikte yayımlandı. SecurityWeek'e göre bilgiler önceden sızdığı için istismar denemeleri yamalardan önce başlamıştı ve o tarihten bu yana milyonlarca deneme kaydedildi.
İlk günlerde başarılı bir kod çalıştırma vakası doğrulanmamıştı. Bu tablo 24 Ekim'de değişti: Perplexity'de tespit ve müdahale ekibini yöneten araştırmacı Adel Karimi'nin tuzak sunucuları (honeypot), üç sunucu üzerinde toplam 35 kabuk (shell) açıldığını kaydetti. BleepingComputer'ın aktardığına göre bu kayıtlar, PHP 8.4.26 çalıştıran bir Apache mod_php kurulumuna karşı doğrulanmış uzaktan kod çalıştırmayı gösteriyordu. Karimi, testin bilinçli olarak saldırıya elverişli, tek işçili bir yapılandırmada yapıldığını da not etti.
CISA 23 Ekim'de uyarısını güncelleyerek şüpheli etkinliği yakalamaya yardımcı bir SIGMA tespit kuralı paylaştı. 26 Ekim'de ise iki açığı Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi. Bu, açıkların artık sahada aktif olarak kullanıldığının resmi kabulü anlamına geliyor.
28 Ekim'de Previdian da kendi ağındaki dört PHP/Apache tuzak sunucusunda başarılı uzaktan kod çalıştırma gözlemlediğini açıkladı. Saldırganın indirmeye çalıştığı dosya yalnızca bir "sleep 5" komutu içeriyordu. Previdian bunu, hangi sunucularda istismarın işe yaradığını doğrulamaya yönelik bir keşif adımı olarak yorumluyor; yani asıl zararlı yüklerin sonraki aşamada gelmesi ihtimali göz ardı edilmemeli.
CISA'nın önerileri net ve acil. Aşağıdaki adımları bugün uygulamanızı öneriyoruz.
Hangi sunucularda hangi PHP sürümünün çalıştığını tespit edin. Komut satırına erişiminiz varsa php -v ile sürümü görebilirsiniz; ancak web sunucusunun kullandığı sürüm komut satırındakinden farklı olabilir. Bu yüzden hosting panelinizi veya geçici bir phpinfo() sayfasını da kontrol edin ve işiniz bitince bu sayfayı mutlaka silin.
Yamalı sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Kullandığınız sürüm dalının bu numaraya veya daha yenisine ulaştığından emin olun; öncelik internete açık sistemlerde olmalı. Güncellemeden sonra PHP-FPM ya da Apache servisini yeniden başlatmayı unutmayın. Bu açık PHP'nin kendisinde olduğu için Composer paketlerini veya WordPress eklentilerini güncellemek tek başına sorunu çözmez.
CISA, hemen güncelleme yapamayan veya PHP 8.1 ve öncesi gibi desteklenmeyen sürümleri kullanan kurumların, PHP tabanlı sistemlerini güncelleme yapılana kadar çevrimdışı almasını öneriyor. Eski sürümde çalışan projeler için uzun süredir ertelenen yükseltme artık zorunlu hale geliyor. Bu süreçte destek gerekiyorsa 59 Medya'nın yazılım geliştirme hizmetlerine göz atabilirsiniz.
CISA'ya göre bir web uygulama güvenlik duvarı (WAF), sistemler güncellenene kadar bir miktar koruma sağlayabilir. Ancak bu kalıcı bir çözüm değil, yalnızca güncellemeye kadar geçen süre için bir önlem.
CISA, PHP işçi süreçlerinin kabuk başlatması veya araç indirmesi gibi şüpheli etkinliklerin izlenmesini tavsiye ediyor. Apache ya da PHP-FPM kullanıcısının sh, curl veya wget çalıştırması normal değildir. Olağandışı büyük POST istekleri ve "memory exhausted" hataları da istismar denemelerine işaret edebilir. SIEM kullanıyorsanız CISA'nın SIGMA kuralını sisteminize ekleyebilirsiniz.
Paylaşımlı hostingde PHP sürümünü genellikle sağlayıcınız yönetir. Hosting firmanıza yamaları uygulayıp uygulamadığını sorun ve panelinizde seçili PHP sürümünü kontrol edin. Eski bir sürüm seçiliyse güncel ve desteklenen bir sürüme geçin, ardından sitenizin düzgün çalıştığını test edin.
PHP2Shell, bir açığın detayları sızdığında yama ile istismar arasındaki sürenin günlere, hatta saatlere indiğini bir kez daha gösterdi. Düzenli sürüm güncellemesi, sunucu envanteri ve log izleme işin temel parçası olmalı. Güncel teknoloji ve güvenlik gelişmelerini takip etmek için 59 Medya blogunu düzenli olarak ziyaret edebilirsiniz.
59 Medya olarak PHP tabanlı projelerin güvenliğini, güncellemelerini ve bakımını önemsiyoruz. Sitenizin hangi PHP sürümünde çalıştığından emin değilseniz veya güvenli bir yükseltme yapmak istiyorsanız, bizimle iletişime geçin. Bugün yapılacak birkaç dakikalık kontrol, yarın yaşanabilecek ciddi bir veri ihlalinin önüne geçebilir.