PHP’de tespit edilen iki kritik güvenlik açığının ayrıntıları, resmi yamalar yayımlanmadan önce internete sızdırıldı. CVE-2026-109618 ve CVE-2026-109619 numaralarıyla takip edilen açıkların, saldırganların uzaktaki sunucularda istedikleri kodları çalıştırmasına olanak tanıyabileceği belirtiliyor. PHP güvenlik ekibi, her iki açığı da 10 üzerinden 9,2 CVSS v4.0 puanıyla kritik seviyede sınıflandırdı.
Güvenlik araştırmacılarının gündemine giren açıklar, WordPress, Drupal, Joomla ve Magento gibi PHP tabanlı platformları kullanan internet sitelerinin yanı sıra PHP içeren sunucu yazılımlarını da etkileyebilir. Sorunun doğrudan PHP’nin kendisinde bulunması, riskin tek bir uygulamayla sınırlı kalmaması anlamına geliyor.
Güvenlik şirketi Huntress, 20 Ekim’de yayımladığı değerlendirmede, ortaklarının sistemlerinde bu açıkların gerçek saldırılarda kullanıldığına dair bir bulguya henüz rastlamadığını bildirdi. Ancak teknik ayrıntıların ve düzeltmelerin yayımlanmasıyla birlikte saldırganların açıkları inceleyerek istismar girişimlerini hızlandırabileceği uyarısı yapıldı.
PHP’deki açıklar sunucularda uzaktan kod çalıştırılmasına yol açabilir
CVE-2026-109618 ve CVE-2026-109619 numaralı güvenlik açıkları, araştırmacılar tarafından php2shell adıyla anılıyor. Kamuya yansıyan bilgilere göre her iki açık da uzaktan kod çalıştırma (RCE) riski taşıyor. Böyle bir güvenlik açığından başarıyla yararlanan saldırgan, savunmasız sunucuda kendi belirlediği komutları çalıştırabilir.
Ancak açıkların tam olarak hangi PHP bileşenlerinden kaynaklandığı henüz açıklanmadı. Ayrıca saldırının sıradan bir web isteğiyle gerçekleştirilip gerçekleştirilemeyeceği veya belirli yapılandırma koşulları gerektirip gerektirmediği de bilinmiyor.
PHP güvenlik ekibi, 21 Ekim için kritik güvenlik güncellemesi duyurusu yaptı. Ayrıntıların planlanan açıklama tarihinden önce sızması üzerine güncelleme takvimi öne çekildi. Resmî duyuruda, teknik ayrıntıların kamuya açılması veya aktif istismara ilişkin kanıtların ortaya çıkması durumunda güncellemenin daha erken yayımlanabileceği de belirtildi.
Etkilenen ve düzeltilen PHP sürümlerinin kesin listesi, kaynak metnin yayımlandığı sırada henüz açıklanmamıştı. İlk raporlarda PHP 5’ten PHP 8’e kadar farklı sürümlerin etkilenebileceği belirtilirken, desteği sona ermiş sürümlerin güvenlik güncellemesi alamama ihtimali de gündeme geldi.
Saldırılar nasıl tespit edilebilir?
Açıkların teknik çalışma biçimi henüz bilinmediği için doğrulanmış bir saldırı yöntemi veya herkese açık bir kavram kanıtlama kodu (PoC) bulunmuyordu. Buna rağmen güvenlik uzmanları, PHP süreçlerinin normalde çalıştırmaması gereken programları başlatmasına dikkat edilmesini öneriyor.
Örneğin php-fpm, php-cgi, php-cgi.exe, httpd veya apache2 gibi web sunucusu süreçlerinin beklenmedik biçimde aşağıdaki araçları çalıştırması şüpheli kabul edilebilir:
sh,bash,cmd.exeveyapowershell.exegibi komut kabuklarıpythonveperlgibi betik yorumlayıcılarıcurl,wget,ncvecertutil.exegibi indirme veya ağ araçları
Bunun yanında /dev/tcp/, fsockopen ve mkfifo gibi ifadeler içeren komut satırlarının incelenmesi de öneriliyor. Web sunucusundan doğrudan çalıştırılan whoami, id, uname -a veya ipconfig gibi sistem keşif komutları da olası bir saldırının işareti olabilir.
Güvenlik araştırmacısı Florian Roth’un geliştirdiği ücretsiz process-watcher aracı, Linux sistemlerde şüpheli süreç hareketlerini izlemek için kullanılabiliyor. Huntress, PHP süreçlerinin olağan davranışlarını takip etmenin, açıkların istismar edilmesi durumunda saldırı belirtilerini daha erken yakalamaya yardımcı olabileceğini belirtiyor.
Eski PHP sürümleri daha büyük risk altında olabilir
PHP’nin çok sayıda web sitesi ve sunucu yazılımında kullanılması, sistem yöneticilerinin yalnızca doğrudan yönettikleri web sunucularını kontrol etmelerini yeterli kılmıyor. Bazı ticari yazılımlar, yönetim panelleri ve üretici cihazları kendi içinde PHP çalıştırabiliyor.
Bu nedenle güvenlik ekiplerinin WordPress ve Drupal gibi uygulamaların yanı sıra cPanel ve Plesk gibi kontrol panellerini, PHP içeren Windows yazılımlarını ve diğer üçüncü taraf ürünleri de incelemesi gerekiyor.
Özellikle desteği sona ermiş PHP sürümleri için risk daha yüksek olabilir. PHP 5, PHP 7 ve PHP 8.0 ile 8.1 gibi eski sürümleri kullanan sistemlerin güncelleme alamama ihtimali bulunduğundan, bu ortamların envanteri çıkarılmalı ve mümkünse desteklenen sürümlere yükseltilmesi planlanmalı.
Güncelleme sağlanamıyorsa eski sistemlerin doğrudan internete açık bırakılmaması; VPN arkasına alınması veya uygun bir web uygulaması güvenlik duvarıyla korunması öneriliyor.
Sistem yöneticileri şimdi ne yapmalı?
Güvenlik yamaları yayımlanmadan önce kurumların temel önceliği, etkilenen olabilecek tüm PHP kurulumlarını belirlemek ve güncelleme için hazırlık yapmak olmalı.
Önerilen önlemler şöyle:
- Tüm PHP kurulumlarını belirleyin. Web sunucularını, üçüncü taraf yazılımları, yönetim panellerini ve PHP’yi kendi içinde barındıran cihazları kontrol edin.
- Resmî yamaları takip edin. PHP’nin güvenlik duyurusunu ve kullanılan Linux dağıtımının veya barındırma sağlayıcısının güncelleme bildirimlerini izleyin. Düzeltmeler yayımlandığında öncelikle internete açık sistemleri güncelleyin.
- Destek dışı sürümleri izole edin. Güncelleme alamayan eski PHP ortamlarını yükseltin veya internete erişimlerini kısıtlayın.
- Süreç hareketlerini izleyin. PHP süreçlerinden başlatılan komut kabuklarını, betik yorumlayıcılarını ve indirme araçlarını denetleyin.
- Saldırı belirtisi bulunursa sistemi izole edin. Web sunucusu ve PHP günlüklerini koruyun; web kök dizininde yeni dosyaları, olası webshell’leri, zamanlanmış görevleri ve bilinmeyen kullanıcı hesaplarını inceleyin.
PHP güvenlik güncellemesi bekleniyor
Huntress, sistemlerindeki PHP süreçlerinin normal davranışlarına ilişkin verileri takip ettiğini ve güncellemeler yayımlandığında yeni saldırı belirtilerini belirlemek için bu verilerden yararlanacağını açıkladı. Şirket ayrıca Windows ve Linux sistemlerde web sunucusu süreçlerinden başlatılan şüpheli komutları ve yaygın webshell faaliyetlerini tespit etmeye yönelik güvenlik mekanizmalarının bulunduğunu bildirdi.
Güvenlik açıklarına ilişkin doğrulanmış bir istismar kodu, kesin etkilenmiş sürüm listesi ve teyit edilmiş bir güvenlik göstergesi henüz mevcut değildi. Huntress, teknik ayrıntılar yayımlandığında tespit kurallarını ve ek güvenlik önerilerini paylaşmayı planlıyor.
PHP’nin yaygın kullanımı nedeniyle bu iki açık, tek bir yazılımı değil, çok sayıda internet hizmetini ilgilendiren bir güvenlik sorunu olabilir. Bu nedenle sistem yöneticilerinin resmî güncellemeleri beklerken envanter çıkarması, şüpheli süreçleri izlemesi ve özellikle eski PHP kurulumlarının internete açık olup olmadığını kontrol etmesi önem taşıyor.