PHP geliştiricileri, PHP2Shell olarak bilinen ve saldırganlara ön kimlik doğrulamasına gerek kalmadan uzaktan kötü amaçlı kod çalıştırma (Remote Code Execution) imkânı tanıyan iki son derece tehlikeli güvenlik açığını kapatmak için acil güvenlik güncellemeleri yayınladı. Bu sırada internet üzerinde bu açıkları istismar etmeye çalışan fiili saldırılar kaydedildi.
Açıkların Detayları ve PHP Motorundaki Tehlike Noktaları
Açıklar, bellek tükenmesi durumunda bellek bozulmasından (Out-of-Memory Corruption) kaynaklanan CVE-2026-109618 ve eski, senkronize olmayan genel durumla (Stale Global State) ilgili CVE-2026-109619 numaralarıyla kaydedildi ve CVSS ölçeğinde 9.2 tehlike puanı aldı. PHP Vakfı (PHP Foundation), her iki açığın da motor içindeki neredeyse her isteğin içinden geçtiği hassas mekanizmalarda, yani bellek yönetimi ve hata işleme süreçlerinde yer aldığını; bunun da etkilerini çok geniş, giderilmelerini ise son derece karmaşık hale getirdiğini doğruladı.
Vakıf, web isteklerini işleyen her PHP sunucusunun risk altında olduğunu belirtti; buna mod_php kullanan Apache sunucuları, PHP-FPM ortamları, php-cgi, FrankenPHP ve LiteSpeed de dahildir. Sorun ayrıca işlemlerin kendi bellek alanının okunmasına kadar uzanıyor ve bu durum API anahtarlarının, parolaların ve önbelleğe alınmış hassas verilerin açığa çıkmasına neden olabilir.
Erken Sızıntı ve Yama Öncesi Saldırılar
Açıkların 22 Ekim'de koordine bir şekilde duyurulması planlanmıştı, ancak detayların ve kavram kanıtlama (PoC) kodlarının internete istenmeyen bir şekilde sızması, ekibin düzeltme tarihini öne çekmesine neden oldu. Genel güncellemeden önceki saatlerde WatchTowr, Patchstack, Cloudflare ve Hadrian dahil olmak üzere güvenlik kuruluşları, temel olarak PHP'deki oturum yükleme ilerlemesi (session upload-progress) yolunu hedefleyen geniş çaplı istismar girişimleri tespit etti.
Çözümleri içeren güncellemeler 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinin yanı sıra PHP 7.4, 8.0 ve 8.1 gibi eski sürümlerin kaynak kodundan sınırlı arka plan yamalarını da kapsadı. Kusurun kökeni tarihsel olarak PHP 5.4'e kadar uzanan sürümlere dayanmaktadır.
Yapay Zekâ Modellerinin Keşfideki Rolü
Bulut bilişim güvenliği şirketi Wiz, OpenAI ve Calif Labs ile iş birliği içinde August ayında açıkları ortaya çıkardı. Bellek tükenmesiyle ilgili ilk kusur ilk olarak 2020'de tespit edilip 2024'te yeniden keşfedilmiş olsa da, o dönemde yazılımsal istismar edilebilirliği kanıtlanamadığı için acil bir tehlike olarak sınıflandırılmamıştı. Ancak gelişmiş yapay zekâ modellerinin kullanılması, araştırmacıların bellek zayıflığını uzaktan komut yürütmeye dönüştüren son derece karmaşık istismar zincirleri kurmasını sağladı.
Bu Gelişme Neden Önemli ve Etkisi Nedir?
PHP, dünya çapındaki web sitelerinin yaklaşık %70'ini çalıştırmakta ve WordPress, Drupal ve MediaWiki (Wikipedia'yı çalıştıran) gibi popüler içerik yönetim platformları tarafından kullanılmaktadır. Dilin temel motorundaki bir kusurun varlığı, üzerine kurulu yazılım uygulamaları tamamen güvenli ve hatasız olsa bile milyonlarca web sitesinin saldırıya açık hale geldiği anlamına gelir. Bu durum, sistem yöneticilerine ve operasyon ekiplerine güncellemeleri derhal uygulama ve erken bir ihlale uğramadıklarından emin olmak için sunucu loglarını kontrol etme zorunluluğu getirmektedir.