PHP'deki Kritik Güvenlik Açıkları Küresel Çapta İstismar Ediliyor

Web sitelerinin büyük çoğunluğunun altyapısını oluşturan PHP programlama dilinde, uzaktan kod yürütmeye izin veren iki kritik güvenlik açığı tespit edildi. php2shell olarak adlandırılan ve CVE-2026-109618 ile CVE-2026-109619 kodlarıyla bilinen bu zafiyetler, 9.2/10 gibi yüksek bir ciddiyet puanına sahip. Bu açıklar, saldırganların web sitelerini tamamen ele geçirmesine olanak tanıyor.

Amazon Tehdit İstihbarat biriminin aktardığına göre, bu güvenlik açıklarının istismarına yönelik ilk girişimler, zafiyetlerin kamuoyuna duyurulmasından dört gün önce, 17 Ekim 2026 tarihinde tespit edildi. Yama yayınlandıktan sonra ise saldırı girişimlerinin sayısı katlanarak arttı. Cloudflare CEO'su Matthew Prince'in belirttiğine göre, yama duyurusundan sonraki ilk saatlerde on binlerce, kısa süre içinde ise milyonlarca istismar girişimi kaydedildi.

Küresel Tehdit ve Erken İstismar

Bu kritik php2shell güvenlik açıkları, PHP motorundaki ciddi hatalardan kaynaklanıyor ve kimlik doğrulaması gerektirmeyen uzaktan kod yürütme (RCE) imkanı sunuyor. Geliştiriciler, bu açıklar için 21 Ekim'de bir yama yayınlamayı planlamış olsa da, sızıntılar ve erken istismar girişimleri nedeniyle yama bir gün önce, 20 Ekim'de yayınlandı. Yama yayınlanmadan önce bile siber suçluların aktif olarak bu zafiyetleri hedef aldığına dair haberler yayılmaya başladı.

Amazon'un analizleri, saldırıların kamuoyuna açıklanmadan günler önce başladığını gösteriyor. Bu durum, bazı kötü niyetli aktörlerin bu kritik zafiyetler hakkında önceden bilgi sahibi olduğunu düşündürüyor. Saldırganların web uygulama güvenlik duvarlarını (WAF) aşmak için yüklerini sürekli olarak değiştirdiği ve adapte ettiği de Cloudflare tarafından gözlemlendi.

Neden önemli?

PHP, internet üzerindeki web sitelerinin önemli bir kısmını güçlendiren temel bir programlama dilidir. Bu nedenle, PHP'deki kritik güvenlik açıkları, dünya genelindeki milyonlarca web sitesi için ciddi bir risk oluşturur. Bu zafiyetlerin başarılı bir şekilde istismar edilmesi, veri ihlallerine, hizmet kesintilerine ve kötü amaçlı yazılım dağıtımına yol açabilir.

Bu durumun ciddiyeti nedeniyle, dünya genelindeki birçok hükümet, eğitim ve sağlık kuruluşu, sistemlerini koruma amacıyla önleyici kapatmalar gerçekleştirdi. Birleşik Krallık hükümeti, yama uygulamaları sırasında 30'dan fazla hizmetinin kullanılamaz hale geldiğini bildirdi. ASLR (Address Space Layout Randomization) gibi bellek koruma özelliklerinin, uzaktan güvenilir kod yürütmeyi zorlaştırması, şu ana kadar başarılı istismar sayısının sınırlı kalmasında etkili oldu. Ancak uzmanlar, saldırı tekniklerinin zamanla gelişeceğini ve sistemlerin acilen güncellenmesi gerektiğini vurguluyor.

Saldırı Girişimleri ve Zorluklar

Güvenlik firması Sophos'un raporuna göre, tehdit aktörleri php2shell açıklarını kullanarak Mirai botnet'inin Potassium adlı bir varyantını yaymaya çalıştı. Bu girişimler engellenmiş olsa da, Mirai tabanlı bu kötü amaçlı yazılımın ek işlevselliklere sahip olduğu ve DDoS saldırıları başlatabildiği belirtiliyor. Hunt.io gibi diğer firmalar da Mirai tarzı botnet'lerle bağlantılı istismar trafiği gözlemledi.

Uzmanlar, güvenlik açıklarının istismarının göründüğü kadar kolay olmadığını belirtiyor. Pluto Security'den Yotam Perkal'ın TechRadar'a yaptığı açıklamaya göre, mevcut halka açık PoC'lerin çoğu gerçek sistemlerde güvenilir bir şekilde çalışmıyor. Bununla birlikte, VulnCheck gibi firmalar, üretim ortamlarında ASLR'yi atlayabilen ve uzaktan kod yürütme sağlayan istismarlar geliştirdiğini duyurdu. SOCRadar ise, test sistemlerine benzer şekilde yapılandırılmış sunuculara karşı etkili olabilecek bir saldırgan aracına rastladığını bildirdi.

Gelecek Adımlar ve Ek Bir Risk

Sistem yöneticilerinin, sunucularını bu zafiyetlere karşı korumak için PHP'nin güncel yamalarını derhal uygulamaları ve PHP çalışanlarını yeniden başlatmaları büyük önem taşıyor. Güvenlik firmaları, saldırganların web uygulama güvenlik duvarlarını aşmak için sürekli yeni yöntemler denediğini ve saldırıların adapte olduğunu belirtiyor.

Bu kritik açıkların yanı sıra, PHP projesi acil yamalar çıktıktan iki gün sonra, CVE-2026-115560 olarak atanan başka bir yamasız uzaktan kod yürütme zafiyeti konusunda uyarıda bulundu. The Hacker News'in aktardığına göre, bu yeni sorun yalnızca sıra dışı yapılandırmalara sahip web uygulamalarını etkiliyor ve PHP tarafından düşük riskli kabul edildiği için acil bir yama yayınlanmadı. Kullanıcılara belirli bir özelliği kapatmaları tavsiye ediliyor.