PHP programlama dilindeki kritik öneme sahip iki güvenlik açığının detayları, koordine açıklama takvimi kapsamında yayınlanmaya hazırlanıldığı sırada ve resmi güncellemeler kullanıcılar için tamamen hazır hale gelmeden önce internete sızdırıldı. Avrupa Siber Güvenlik Ajansı'nın (CERT-EU) uyarılarına göre, CVE-2026-109618 ve CVE-2026-109619 tanımlayıcılarına sahip bu açıkların her ikisi de CVSS ölçeğinde 9.2 gibi son derece yüksek bir tehlike derecesine sahip olup, kimlik doğrulamaya gerek kalmaksızın potansiyel istismara açık hale gelmelerine neden olmaktadır.
Teknik raporlar bu açıkları PHP2Shell olarak adlandırırken, saldırganların bunlardan yararlanarak virüslü sunucularda komut yürütme (Shell) yetkileri elde etme potansiyeline dikkat çekti. İlk tahminler, Beşinci Sürümden (PHP 5) itibaren tüm PHP sürümlerinin bu yazılım açılarından etkilenebileceğini gösteriyor.
Acil Durum Hazırlıkları ve Güvenlik Şirketlerinin Doğrulamaları
Sızıntının ardından PHP, tüm kullanıcıları güncellemeleri yayınlanır yayınlanmaz uygulamaya hazır olmaya çağıran uyarılar yayınladı ve canlı ortamlarda açıkların istismar edildiğine dair kanıtların ortaya çıkması durumunda düzeltmelerin erken sunulma ihtimali bulunduğunu belirtti. Ön maruziyet yönetimi şirketi (WatchTowr) ise CVE-2026-109618 açığını başarıyla yeniden ürettiğini doğrularken, güvenlik nedenleriyle kesin teknik detayları yayınlamaktan kaçınarak hatanın varlığının doğruluğunu teyit etmekle yetindi.
WatchTowr ve Huntress şirketleri ilk başta hemen aktif saldırılar tespit edilmediğini belirtse de, siber güvenlik şirketi (Sansec) düzeltmelerin yayınlanmasından sonraki birkaç dakika içinde kapsamlı istismar denemelerinin başlayabileceği konusunda uyarıda bulundu. Daha sonra PHP gerekli güncellemeleri yayınladı ve siber güvenlik şirketleri gerçek istismar girişimlerini tespit ederken, bunların bir kısmı henüz düzeltmeler hedef sunuculara ulaşmadan bile kaydedildi.
Bu Haber Neden Önemli?
Bu gelişme, PHP'nin dünya genelindeki web sitelerinin ve sunucuların çok büyük bir kısmını çalıştırmasının omurgasını oluşturması nedeniyle büyük bir risk oluşturmaktadır. Kimlik doğrulama gerektirmeyen uzaktan kod yürütme (RCE) açıkları, korsanların enfekte olmuş altyapının kontrolünü tamamen ele geçirmesine olanak tanır. Olay ayrıca, teknik detaylar düzeltmelerden önce açıkça sızdırıldığında açık yönetimindeki devam eden zorlukları gözler önüne seriyor ve güvenlik ekiplerine geniş çaplı otomatik saldırılardan kaçınmak için güncellemeleri rekor sürede uygulamaları yönünde büyük bir baskı yapıyor.