PHP ekibi, dünyadaki web sitelerinin büyük bölümünü çalıştıran dilde “PHP2Shell” adı verilen iki kritik uzaktan kod çalıştırma açığı için acil durum yamaları yayımladı. Bilgilerin planlanan açıklamadan önce sızması üzerine takvim öne çekildi; güvenlik şirketleri ilk saldırı denemelerini şimdiden görmeye başladı.

İki açık, tek hedef: kimlik doğrulamasız kod çalıştırma

CVE-2026-109618 ve CVE-2026-109619 numaralı açıklar, PHP’nin uygulama düzeyinde değil, doğrudan çalışma ortamında bulunuyor. Her ikisi de 9,2 CVSS puanıyla kritik seviyede. Saldırgan, oturum açmadan sunucuda kod çalıştırabiliyor ve diğer isteklerin belleğindeki parola, API anahtarı ya da sertifika gibi verilere erişebiliyor. Apache mod_php en riskli yapı olarak öne çıkıyor; tek bir istek, uygulama kodu devreye girmeden saldırıyı tetikleyebiliyor. PHP-FPM, php-cgi, FrankenPHP ve LiteSpeed de etkilenenler arasında. Sorun PHP 5.4’e kadar uzanan sürümleri kapsıyor.

Sızıntı, yamalar ve ilk saldırı denemeleri

Olay, 20 Ekim’de Hacker News’te yayımlanan ve açıkların 22 Ekim’de duyurulacağını iddia eden bir paylaşımla başladı. PHP ekibi aynı akşam ön duyuru yaptı ve yayın tarihini 21 Ekim’e çekti. Düzeltmeler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde yer alıyor; 7.4, 8.0 ve 8.1 için kaynak kod yamaları ayrıca paylaşıldı. Cloudflare yama öncesinde erken saldırı denemeleri gördüğünü ve geçici koruma kuralları devreye aldığını açıkladı. watchTowr ise 21 Ekim’de GMT 11.26 itibarıyla sahada gerçek bir istismar tespit etmediğini bildirdi.

Sistem yöneticileri ne yapmalı?

Tek tam çözüm PHP’yi güncellemek ve Apache, PHP-FPM gibi uzun süre çalışan işlemleri yeniden başlatmak. Güncelleme gecikecekse bellek sınırı ve yükleme boyutu ayarlarını sıkılaştırmak ile session.upload_progress özelliğini kapatmak riski azaltıyor, ancak sunucuyu güvenli kılmıyor. Önlem amaçlı olarak BambooHR hizmetini bazı bölgelerde geçici kapattı; Hollanda’da DigiD ve MijnOverheid gibi bazı kamu siteleri de çevrimdışı kaldı. Araştırmacılar, açıkların çalışan istismar koduna dönüştürülmesinde yapay zekâ modellerinden yararlandıklarını da belirtti.