PHP güvenlik ekibi, PHP2Shell adı altında takip edilen ve uzaktan kod yürütme (RCE) türünde olan iki kritik zafiyeti gidermek için acil güvenlik güncellemeleri yayınladı. CVE-2026-109618 ve CVE-2026-109619 tanımlayıcılarına sahip olan bu zafiyetler, yetkisiz saldırganların etkilenen sunucuların kontrolünü ele geçirmesine olanak tanıyor.
Zafiyetlerin detayları ve etkisi
Bu zafiyetler, Calif, OpenAI ve Wiz şirketlerindeki araştırmacıların ortak çabalarıyla keşfedildi. Bu zafiyetlerin ciddiyeti, PHP-FPM, mod_php ile Apache, php-cgi, FrankenPHP ve LiteSpeed dahil olmak üzere web isteklerine hizmet veren tüm PHP çalışma ortamlarını etkilemesinden kaynaklanıyor.
PHP güvenlik ekibi, en büyük riskin mod_php yapılandırmalarında olduğunu belirtti; burada yetkisiz bir saldırgan, uygulamaya özel herhangi bir kod çalıştırılmadan önce saldırı gerçekleştirebilir. İki zafiyet, bir isteğin anormal şekilde sonlanması durumunda belleğin bozuk bir durumda bırakılmasıyla ilgili temel bir sorundan kaynaklanmakta olup, bu durum uzaktan kod yürütme için istismar edilmesine kapı aralamaktadır.
Yöneticiler için gerekli işlemler
Sistem yöneticileri sunucularını derhal şu güvenli sürümlere güncellemelidir: 8.5.12, 8.4.27, 8.3.36 veya 8.2.35. Artık resmi güncelleme almayan eski sürümler (7.4, 8.0, 8.1) için PHP ekibi, bu sürümlere hala bağımlı olan sistemlerin güvenliğini sağlamaya yardımcı olmak amacıyla yama dosyaları (backports) sağlamıştır.
Bu haber neden önemli?
PHP dili, WordPress ve Drupal gibi popüler platformlar da dahil olmak üzere dünya genelindeki web sitelerinin yaklaşık %75 ila %80'inin omurgasını oluşturmaktadır. İnternete açık 5 milyondan fazla PHP sunucusu göz önüne alındığında, bu zafiyetlerin istismar edilmesi geniş çaplı bir tehdit oluşturmaktadır. Cloudflare şirketi, bu zafiyetlerin erken istismar girişimlerini halihazırda tespit ettiğini doğrulamış, bu durum Birleşik Krallık Ulusal Siber Güvenlik Merkezi'ni (NCSC) kuruluşlara acil güncelleme yapmaları veya sistemleri ağdan ayırmaları konusunda uyarı yayınlamaya sevk etmiştir.
Geçici hafifletme önlemleri
Acil güncellemenin mümkün olmadığı durumlarda, PHP güvenlik ekibi istismar şansını azaltmak için bazı hafifletme önlemleri sunmuştur:
- CVE-2026-109618 zafiyeti için: memory_limit değerini -1 olarak ayarlayın ve post_max_size değerini 8 MB'a (veya dosya yükleme gerektiğinde 32 MB'a) düşürün.
- CVE-2026-109619 zafiyeti için: session.upload_progress.enabled değerini 0 olarak ayarlayın ve 8.5 sürümünde fatal_error_backtraces değerini 0 olarak ayarlayıp çalışanları (workers) yeniden başlatın.
Geliştiriciler, bu önlemlerin tam koruma sağlamadığını ve resmi güncellemenin sunucu güvenliğini kalıcı olarak garanti altına almanın tek yolu olduğunu vurgulamaktadır.