İçeriğe atla

PHP2Shell

Vikipedi, özgür ansiklopedi
PHP2Shell
Image
Yamanın uygulanmasından birkaç saat önce görülen, önlem olarak devre dışı bırakılmış olan Wikimedia'nın Phabricator örneği
CVE kimliğiCVE-2026-109618
Keşfedildiği tarih1 Ağustos 2026 (2 ay önce) (2026-08-01)
Düzeltildiği tarih21 Ekim 2026 (2 gün önce) (2026-10-21)
KeşfedenCalif, OpenAI, Wiz
Etkilenen yazılımPHP versiyonlar 5.4–8.5[1]

PHP2Shell, PHP 5.4–8.5 sürümlerinde bulunan ve uzaktan kod yürütme (RCE) imkânı sağlayan, yüksek etki derecesine sahip iki güvenlik açığıdır (CVE-2026-109618[2] ve CVE-2026-109619[3]). Bu güvenlik açıklarının varlığı 20 Ekim 2026 tarihinde kamuoyuna duyurulmuştur.[4] Ertesi gün, 8.2, 8.3, 8.4 ve 8.5 sürümleri için acil durum yaması ve güvenlik açıklarıyla ilgili ayrıntılar yayınlandı.[5]

Teşhis

[değiştir | kaynağı değiştir]

PHP 5.4 sürümünden (2012’de piyasaya sürüldü)[6] itibaren bu güvenlik açıklarından etkilenmektedir ve bellek güvenliği hatalarıyla ilgili endişeler on yıllar önce dile getirilmiş olsa da, o dönemde işlevsel bir istismar kodunun geliştirilmesinin mümkün olmadığı düşünülmesi nedeniyle herhangi bir önlem alınmamıştı.[7][8.1] Bir PHP çekirdek geliştiricisi, 2024 yılında yapılan bir denetim sırasında bu güvenlik açıklarından birinin arkasında yatan bellek yetersizliği hatasını keşfetti, ancak bu hata hiçbir zaman düzeltilmedi ve geliştirme ekibi, hatanın nasıl düzeltileceği konusunda bir uzlaşmaya varamadı. Henüz spesifik bir istismar yöntemi keşfedilmediği için bu soruna öncelik verilmedi.[9][10]

Bu güvenlik açıkları iki farklı tarafça bağımsız olarak keşfedildi. Kaliforniya merkezli[11] güvenlik şirketi Calif’te araştırmacı olarak görev yapan Ryan Austin, Ağustos 2026’da OpenAI’nin “Patch the Planet” projesi kapsamında ve Alphabet Inc.’in bir iştiraki olan ve Google Cloud’un bir parçası olan İsrailli-Amerikalı bulut güvenlik şirketi Wiz.[12.1] Austin, güvenlik açığını bulma sürecinde OpenAI’nin GPT-5.6 Sol modelinden yararlandı.[12.1] Wiz araştırmacıları, araştırmalarında yardımcı olması amacıyla Gemini 4 Argon ve GPT-5.6 Sol adlı büyük dil modellerinin yanı sıra kendi araçları olan Wiz Atlas'ı da kullandılar.[13]

Güvenlik açığı, PHP geliştiricileri tarafından CVSS v4.0 kapsamında 10 üzerinden 9,2 (kritik) olarak[14], güvenlik firması watchTowr ise tam 10,0 olarak derecelendirildi.[15]

Yamalar

[değiştir | kaynağı değiştir]

PHP geliştiricileri, PHP 8.2, 8.3, 8.4 ve 8.5 sürümlerinin yamalı sürümlerini (8.2.35, 8.3.36, 8.4.27 ve 8.5.12) yayınladı.[5] 7.4, 8.0 ve 8.1 sürümleri için kaynak kodu yamaları yayınlansa da bu sürümler kullanım ömrünün sonuna gelmiş sayıldığından, bunlar için resmi olarak güncellenmiş ikili dosyalar yayınlanmadı.[5] Geçici önlemler alan yamalar sunuldu fakat bakım ekibi, tam bir çözüm bulunmadığını ve güncellemenin tek güvenli seçenek olduğunu belirtti.[5] Her iki güvenlik açığı da 21 Ekim 2026 tarihinde saat 13:34 UTC'de,[16][17] duyurulan yayın saatinden 26 dakika önce GitHub güvenlik bildirimleri aracılığıyla yayınlandı. PHP web sitesi de kısa süre sonra güncellendi.[18]

PHP geliştiricileri, güvenlik açıklarına ilişkin haberlerin 20 Ekim’de Hacker News forumlarında,[19] siber güvenlik şirketi watchTowr Labs’ın X’teki bir gönderisinde ve Calif tarafından yanlışlıkla yayınlanan bir kavram kanıtı istismar videosunda[9][20.1] sızmasının ardından, sürüm yayınlanmadan önce güncellemeyi erkenden duyurdu. PHP.net’teki bu erken uyarı, kullanıcıları yama yayınlanır yayınlanmaz hazırlık yapmaya ve güncelleme yapmaya teşvik etti.[5] Sansec adlı bir güvenlik firması, “yayınlanmasından sonraki 15 dakika içinde kitlesel saldırıların başlayacağını” öngördü.[21] Geliştirme platformu Chainguard, yazılımın yamalı sürümlerini erken yayınladıktan sonra, ambargo süresi dolmadan önce kavram kanıtı istismarları, teknik raporlar ve kısmi önlemler İnternet’te dolaşmaya başladı ve bu durum, saldırganların hangi kodların değiştirildiğini belirlemelerine olanak tanıdı.[15][22][9]

Amazon Threat Intelligence, kamuya duyurulmasından dört gün önce, 17 Ekim 2026 tarihli MadPot telemetri verilerinde bir PHP2Shell istismar girişimi tespit etti.[23] Cloudflare, yamanın kamuya açıklanmasından önce erken istismar belirtileri bildirdi ve bu güvenlik açığına karşı geçici bir önlem olarak web uygulaması güvenlik duvarı (WAF) kuralları uyguladı.[24][25][26] Güvenlik şirketi watchTowr, honeypot ağı aracılığıyla 21 Ekim itibarıyla gerçek ortamda istismar vakaları gözlemlediğini belirtirken,[27] ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ise aynı tarih itibarıyla herhangi bir istismar vakası gözlemlemediğini açıkladı.[28]

Kaynakça

[değiştir | kaynağı değiştir]
  1. ↑ "PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet | Wiz Blog". wiz.io (İngilizce). 21 October 2026.
  2. ↑ "CVE-2026-109618". Mitre.
  3. ↑ "CVE-2026-109619". Mitre.
  4. ↑ "PHP: News Archive - 20 Oct 2026". www.php.net (İngilizce). 20 October 2026. Erişim tarihi: 21 October 2026.
  5. 1 2 3 4 5 "PHP: News Archive - 21 Oct 2026". www.php.net (İngilizce). 21 October 2026. Erişim tarihi: 21 October 2026.
  6. ↑ "PHP: Releases". www.php.net (İngilizce). Erişim tarihi: 22 October 2026.
  7. ↑ Kan, Michael (21 October 2026). "This Flaw Is So Serious Websites Should Consider Going Offline, NSA Says". PCMAG (İngilizce). Erişim tarihi: 21 October 2026.
  8. McMillan, Robert (21 October 2026). "Exclusive | AI Just Found a Bug That Puts up to 70% of the World's Websites at Risk"Ücretli abonelik gerekli. Wall Street Journal. Erişim tarihi: 21 October 2026.
    1. ↑ Şablon:Subref
  9. 1 2 3 Constantin, Ana Maria (21 October 2026). "PHP knew about one of the flaws in 2024 but could not agree a fix". The Next Web. Erişim tarihi: 21 October 2026.
  10. ↑ "Today's PHP Security Release, and How We're Strengthening PHP Security". thephp.foundation (İngilizce). Erişim tarihi: 21 October 2026.
  11. ↑ Volz, Dustin (8 September 2026). "A Hacking Tool Built With A.I. Can Breach Phones Without a Click". The New York Times. Erişim tarihi: 21 October 2026.
  12. McMillan, Robert (21 October 2026). "Exclusive | AI Just Found a Bug That Puts up to 70% of the World's Websites at Risk"Ücretli abonelik gerekli. Wall Street Journal. Erişim tarihi: 21 October 2026.
    1. 1 2 Şablon:Subref
  13. ↑ Satter, Raphael; Marchandon, Leo; Ghosh, Kanjyik; Pardesi, Rajveer (21 October 2026). "Government websites go dark after AI-discovered flaw sparks security scramble". Reuters (İngilizce). Erişim tarihi: 21 October 2026.
  14. ↑ "php.announce: [ANNOUNCE] Upcoming Critical PHP Security Release". news-web.php.net. Erişim tarihi: 21 October 2026.
  15. 1 2 Abrams, Lawrence. "PHP warns admins of two critical flaws, emergency patches coming tomorrow". BleepingComputer (İngilizce). Erişim tarihi: 21 October 2026.
  16. ↑ "RCE via OOM corruption". 21 October 2026. Erişim tarihi: 21 October 2026.
  17. ↑ "RCE via stale global state". 21 October 2026. Erişim tarihi: 21 October 2026.
  18. ↑ Scherzer, Daniel (22 October 2026). "Blog: PHP2Shell: a Timeline". scherzer.dev (İngilizce). Erişim tarihi: 22 October 2026.
  19. ↑ "Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming". news.ycombinator.com (İngilizce). 21 October 2026 tarihinde kaynağından arşivlendi. Erişim tarihi: 22 October 2026.
  20. McMillan, Robert (21 October 2026). "Exclusive | AI Just Found a Bug That Puts up to 70% of the World's Websites at Risk"Ücretli abonelik gerekli. Wall Street Journal. Erişim tarihi: 21 October 2026.
    1. ↑ Şablon:Subref
  21. ↑ Goodin, Dan (20 October 2026). "PHP warns it plans to release 2 emergency patches imminently". Ars Technica (İngilizce). 21 October 2026 tarihinde kaynağından arşivlendi. Erişim tarihi: 21 October 2026.
  22. ↑ "Only for the curious..." jackalsyn.com. Erişim tarihi: 21 October 2026.
  23. ↑ "Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot | AWS Security Blog". aws.amazon.com. 21 October 2026. Erişim tarihi: 22 October 2026.
  24. ↑ Gatlan, Sergiu (21 October 2026). "PHP ships emergency patches for critical PHP2Shell flaws". BleepingComputer (İngilizce). Erişim tarihi: 21 October 2026.
  25. ↑ "Hold on to your butts: Web admins braced for emergency PHP updates to plug leaked exploits". PC Gamer (İngilizce). 21 October 2026. Erişim tarihi: 21 October 2026.
  26. ↑ Knecht, Dane (21 October 2026). "Dane Knecht 🦭 (@dok2001) on X". X (formerly Twitter).
  27. ↑ "PHP RCE FAQ: PHP2Shell CVE-2026-109618 & CVE-2026-109619". watchTowr (İngilizce). 20 October 2026. Erişim tarihi: 21 October 2026.
  28. ↑ Collier, Kevin (21 October 2026). "Critical vulnerabilities in commonly used web code spark rush to update systems". NBC News (İngilizce). Erişim tarihi: 21 October 2026.

Dış bağlantılar

[değiştir | kaynağı değiştir]
Image
Wikimedia Commons'ta PHP2Shell ile ilgili ortam dosyaları mevcuttur.
"https://tr.wikipedia.org/w/index.php?title=PHP2Shell&oldid=38312829" sayfasından alınmıştır