Teknik raporlar, saldırganların PHP2Shell olarak bilinen (CVE-2026-109618 ve CVE-2026-109619 tanımlayıcılarıyla kayıtlı) kritik güvenlik açıklarını gerçek çalışma ortamlarında uzaktan komut yürütmek (RCE) amacıyla başarıyla istismar ettiğini doğruladı.
Bu doğrulama, Perplexity Tehdit Tespiti ve Müdahale Ekip Lideri Adel Karimi tarafından kötü amaçlı faaliyetlerin tespit edilmesinin ardından geldi; sızma tuzakları (honeypots), PHP 8.4.26 sürümüyle çalışan bir Apache mod_php kurulumuna karşı uzaktan komut yürütüldüğüne dair kesin kanıtlar kaydetti. Karimi, saldırının sadece sistemin çökmesine neden olmakla kalmadığını, aynı zamanda saldırganların veri çıkarıp sonraki yürütme yüklerinde kullanmasını sağlayan bir bellek sızıntısını (memory disclosure) da içerdiğini açıkladı.
Saldırıların Taramadan Sızmaya Evrilmesi
Cloudflare ve Patchstack gibi birçok siber güvenlik şirketi, bu açıkların duyurulmasından önce istismar girişimlerini tespit etmiş olsa da, bu girişimler başarısız veya yalnızca tarama ve parmak izi alma (scanning and fingerprinting) faaliyetleri olarak sınıflandırılmıştı. Bununla birlikte, Karimi'nin Expel şirketinden tehdit araştırmacısı Marcus Hutchins tarafından da doğrulanan keşfi, açık keşfetme aşamasından fiili ve başarılı sızma aşamasına tehlikeli bir geçiş temsil ediyor.
Bu Haber Neden Son Derece Tehlikeli?
Tehlike, PHP'nin yaygın kullanımında yatmaktadır. VirusTotal tahminlerine göre PHP, internetteki tüm web sitesi ve uygulamaların yaklaşık yüzde 70'ini çalıştırmakta ve internete açık PHP kullanan 5,1 milyondan fazla ana bilgisayar (host) bulunmaktadır. Bu, bu dilde uzaktan komut yürütmeye izin veren herhangi bir açığın, küresel dijital altyapıyı hedef alabilecek geniş çaplı saldırılara kapı araladığı anlamına gelir.
Yeni Bir Açık İçin Uyarı ve Koruma Tedbirleri
PHP2Shell açıkları giderilirken, PHP güvenlik ekibi, henüz bir yaması bulunmayan ve geleneksel olmayan yapılandırma ile uygulamalara sahip sistemleri hedef alan yeni bir RCE açığı (CVE-2026-115560) konusunda uyardı. Sistemleri korumak için aşağıdaki önlemlerin alınması tavsiye edilir:
- PHP'yi Derhal Güncelleyin: Sistem yöneticileri, PHP ekibi tarafından PHP2Shell açıklarını gidermek üzere 21 Ekim'de yayınlanan güvenlik güncellemelerini yüklemelidir.
- Acil Önleyici Tedbir: Şu anda bir yaması bulunmayan yeni açığa (CVE-2026-115560) karşı koymak için, yapılandırma dosyasında session.upload_progress.enabled=0 ayarı yapılarak oturumlar aracılığıyla dosya yükleme özelliğinin devre dışı bırakılması tavsiye edilir.