Geri
PHP2Shell: PHP'deki iki kritik RCE açığı ve yapmanız gerekenler
21 Ekim 2026'da PHP, iki kritik açık için acil güvenlik sürümü yayımladı. Araştırmacıların "PHP2Shell" adını verdiği açıklar, web isteklerine yanıt veren PHP sunucularında oturum açmadan kod çalıştırılmasına izin veriyor. Yamanın yayımlandığı gün istismar girişimleri görüldü.
Ne oldu?
Açıkların varlığı 20 Ekim'de sosyal medyada planlanan duyurudan önce sızdı. PHP aynı gün bir ön duyuru yaptı ve düzeltmeleri 21 Ekim 14:00 (UTC) itibarıyla yayımladı. watchTowr, aynı gün tuzak sistemlerinde istismar trafiği gördüğünü bildirdi; Cloudflare da saldırı trafiği raporladı.
| CVE | Tür | CVSS v4.0 |
|---|---|---|
| CVE-2026-109618 | Bellek tükenmesi (OOM) sırasında yarım kalan istek verisi üzerinden RCE | 9.2 |
| CVE-2026-109619 | İstekten artakalan eski global durum üzerinden RCE ve bellek sızıntısı | 9.2 |
Her iki açık da kimlik doğrulaması ve kullanıcı etkileşimi gerektirmiyor. Araştırmacılar, ikinci açıkla PHP işçi belleğinin okunabildiğini, bunun da parola, oturum anahtarı ve API anahtarlarının sızmasına yol açabileceğini gösterdi.
Kimler etkileniyor?
Web isteği işleyen tüm PHP kurulumları: PHP-FPM, Apache mod_php, php-cgi, LiteSpeed ve FrankenPHP. PHP, en yüksek riski Apache mod_php için tanımlıyor; burada saldırı uygulama kodu çalışmadan önce gerçekleşebiliyor.
| PHP sürümü | Düzeltilmiş sürüm |
|---|---|
| 8.5.x | 8.5.12 |
| 8.4.x | 8.4.27 |
| 8.3.x | 8.3.36 |
| 8.2.x | 8.2.35 |
| 7.4, 8.0, 8.1 | Resmi sürüm yok; dağıtım paketi, PHP'nin sınırlı kaynak yaması veya yükseltme |
| 7.3 ve öncesi | Düzeltme yok; desteklenen bir sürüme yükseltme |
Linux dağıtımları düzeltmeleri kendi paketlerine eski sürüm numarasıyla taşımış olabilir. Sürümü dağıtımınızın güvenlik duyurusundan kontrol edin. Unutmayın: komut satırındaki php -v, web isteklerini işleyen kurulumdan farklı bir sürümü gösterebilir.
Ne yapmalısınız?
- Envanter çıkarın. İnternete açık sunuculardan ve mod_php kullananlardan başlayın. Konteyner imajlarını, kontrol panellerini (cPanel, Plesk) ve PHP gömülü gelen cihaz/yazılımları unutmayın.
- Yamayı uygulayın ve tüm PHP işçilerini yeniden başlatın. PHP'ye göre hiçbir yapılandırma değişikliği açıkları tam olarak kapatmıyor.
- Hemen yamalanamayan sistemleri internetten ayırın veya bir VPN/WAF arkasına alın.
- Geçici önlem olarak PHP'nin önerdiği ayarları uygulayın:
session.upload_progress.enabled=0(php.ini veya FPM havuzu düzeyinde),post_max_sizeve istek boyutu sınırlarını düşürme, kullanılmayan multipart istekleri engelleme. - İstismar izi arayın. php-fpm, httpd veya apache2 süreçlerinin kabuk, betik yorumlayıcı ya da indirme aracı başlatması; web kökünde yeni dosyalar; yeni cron görevleri ve hesaplar.
- Şüphe varsa sunucuyu izole edin, web ve PHP günlüklerini koruyun, sunucudaki parola ve API anahtarlarını değiştirin.
Nokta Guard nasıl yardımcı olur?
Dış ağ ve web uygulaması sızma testlerimizde internete açık PHP sistemlerinizi tespit edip yama durumunu doğruluyoruz. İstismar şüphesi olan sunucularda adli bilişim incelemesiyle saldırganın ne yaptığını ortaya koyuyoruz.
İlgili hizmetler: Web Uygulaması Sızma Testi, Zafiyet Yönetimi, Sunucu İncelemesi
Kaynaklar: watchTowr SSS · Qualys · The Hacker News