ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), toplu olarak PHP2Shell açıkları olarak bilinen PHP programlama dilindeki iki kritik güvenlik açığını, gerçek saldırılarda istismar edilen güvenlik açıkları kataloğuna ekledi.
Açıkların detayları ve aktif saldırılar
(CVE-2026-109618) ve (CVE-2026-109619) kodlarını taşıyan bu iki açık, yetkisi olmayan saldırganların, gerekli güvenlik güncellemelerini almamış sistemlerde uzaktan kod yürütme (RCE) amacıyla yüksek karmaşıklıkta saldırılar gerçekleştirmesine olanak tanıyor. PHP güvenlik ekipleri, kamuya duyurulmadan önce çeşitli güvenlik şirketleri tarafından geniş çaplı istismar girişimlerinin tespit edilmesinin ardından, Ekim ayında bu iki açığı kapatmak için gerekli yazılım güncellemelerini yayınlamıştı.
Açıkların detaylarının sızdırılmasına ve resmi yamalar yayınlanmadan önce internet üzerinden bazı kavram kanıtlama (PoC) kodlarının paylaşılmasına rağmen, PHP güvenlik ekibi bu girişimlerin başlangıçta etkili olmadığını doğruladı. Bununla birlikte, Amazon ve Cloudflare dahil olmak üzere birçok güvenlik şirketi, resmi güncellemeler yayınlanmadan birkaç gün önce bile açıkları hedef alan istismar girişimlerini belgeledi.
Devlet kurumları için acil talimatlar
Bu gelişmelerin ardından CISA, açıkları Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi ve Federal Sivil Yürütme Organı (FCEB) kurumlarını, Bağlayıcı Operasyonel Direktif (BOD 26-04) uyarınca sistemlerini güvence altına almaya ve gerekli yamaları uygulamaya zorunlu kıldı. Ajans, bu tür açıkların altyapıları ve federal kurumları doğrudan tehdit eden yaygın bir saldırı yolu oluşturduğu konusunda uyardı.
Bu gelişme pratikte ne anlama geliyor?
PHP'nin yaygın kullanımı göz önüne alındığında bu güncellemeler büyük önem taşıyor. VirusTotal platformunun tahminlerine göre PHP, dünya genelindeki web sitelerinin yaklaşık %70'ini çalıştırıyor ve milyonlarca savunmasız sunucu bulunuyor. ABD ajansının bu saha hamlesi ve olay müdahale ekiplerinin hızlı yanıtı, teknik kurumların dijital ortamda istismar edildiği doğrulanan tüm kritik açıklarla anında başa çıkmak için risk tabanlı açık yönetimi planlarını benimsemesi gerektiğini yansıtıyor.