PHP2Shell: Kritik PHP Açıkları mod_php Sunucularını En Çok Vurdu.

PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35, bazı kurulumlarda uygulama kodu çalışmadan önce kimlik doğrulaması gerektirmeyen kod yürütme izni veren iki kritik açığı gideriyor. Yorumlayıcıda neyin ters gittiği, en fazla maruz kalan SAPI’ler ve PHP’nin önerdiği geçici önlemler burada.

Steffen Zahn (

Steffen Zahn),

Yayınlandı

🇩🇪

PHP, iki açığın detayları bir gün önce Hacker News’de sızdırıldıktan sonra güvenlik güncellemesini 21 Ekim Çarşamba günü saat 15.00 UTC’ye çekti. Düzeltmeler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde yer alıyor. Her iki hata da bir CMS’te değil, doğrudan yorumlayıcıda bulunuyor. PHP’nin CVE-2026-109618 ve CVE-2026-109619 için yayınladığı uyarılar, her birini CVSS 4.0 altında 9.2 olarak derecelendiriyor ve web çalışanının ayrıcalıklarıyla kimlik doğrulaması gerektirmeyen uzak kod yürütme olduğunu onaylıyor.

Bellek yönetimi belleği yarı başlatılmış bırakıyor

İlk hata, PHP’nin bellek tükenmesi (OOM) hatalarını nasıl işlediğiyle ilgili. OOM durumunda yorumlayıcı, istek belleği o anda yalnızca kısmen başlatılmış olsa bile longjmp() kullanarak mevcut bağlamdan ayrılıyor. Kapanış prosedürü ise bu durumu geçerli olarak okuyor. Saldırgan, örneğin parça başına sınırsız sayıda üst bilgi, max_file_uploads’a sayılmayan boş dosya alanları veya iç içe alan adları gibi post_max_size altında kalan çok parçalı bir istekle OOM’u zorlayabilir. Yama, longjmp() yerine bir sonraki VM güvenli noktasında yumuşak bir OOM ve ikinci, daha yüksek bir eşiğin üzerinde katı bir _exit() ile değiştiriliyor.

İkinci hata, bir istekten daha uzun ömürlü olan global durumu içeriyor. Ölümcül bir hata, işlem durumunu sıfırlamadan önce işlemi durdurursa, bir global alan serbest bırakılmış yığın belleğine işaret etmeye devam ediyor. Aynı çalışandaki bir sonraki istek, bu değeri normal başlatmadan önce okuduğunda sonuç kullan-sonra-bırak (use-after-free) hatası oluyor. PHP, PHP 8.5’teki fatal_error_backtraces ayarı ve varsayılan olarak etkin olan ve uygulamanın session_start() çağırmasını gerektirmeyen session upload progress olmak üzere iki onaylanmış yolu listeliyor.

Neden mod_php en fazla maruz kalan

mod_php ile Apache, istek başlatması zaten başarısız olmuş olsa bile istek kapanış prosedürünü çağırıyor. PHP istek gövdesini ayrıştırırken bellek tükenmesi yeterli ve hiçbir uygulama kodunun çalışması gerekmiyor. PHP, mod_php üzerinde varsayılan bellek ve girdi limitleriyle tam kod yürütme doğruladı. PHP-FPM, başlatması başarısız olan bir çocuyu öldürüyor, bu da doğrudan yolu engelliyor. İkinci hata için PHP, yine normal bir FPM havuzuna yönelik bir açığı sömürüyü onayladı, ancak bu bir uygulamanın uygun bir işlemine bağlı. Kaynak analizi, FrankenPHP’nin mod_php gibi davrandığını, LSAPI’nin ise koşullu bir aday olduğunu gösteriyor. CVSS vektöründeki yüksek saldırı karmaşıklığı, PHP derlemesi ve yığın yerleşiminin güvenilirliği etkilediğini yansıtıyor.

Sömürü girişimleri ve AI’nın rolü

watchTowr, her iki açığa da yönelik aktif sömürü girişimlerini gözlemlediğini söylüyor ve Cloudflare The Hacker News’e güncelleme yayımlanmadan önce erken saldırılar gördüklerini belirtti. Buna kadar başarılı bir zafiyetlendirme onaylanmadı. Hollanda devlet hizmetleri DigiD ve MijnOverheid, önlem olarak çevrimdışı kalmaya devam etti ve İngiltere’nin NCSC, başka seçenek yoksa yamalanmamış sistemlerin çevrimdışı alınmasını tavsiye ediyor.

Wiz Research, hataları buldu ve 24 Ağustos’ta bildirdi. Wiz’e göre, keşif, sömürü geliştirme ve yama doğrulama—özellikle her hedef için sömürüyü ayarlama—işlerinde Gemini 4 Argon ve GPT-5.6 Sol yardımcı oldu. Wiz ayrıca keşif ve koordinasyondaki yardım için OpenAI ve Calif’i de takdir ediyor. Bu, Anthropic’in yakın zamanda ucuz TV kutularını hedefleyen kopyalanan yapay zekâ hakkında yazdıklarıyla örtüşüyor; burada modeller de saldırılar için barı alçaltıyor.

Yöneticiler şimdi ne yapmalı

Güncelleme, tek tam çözümüdür. Linux dağıtımları ve LTS sağlayıcıları yamaları önceden alır ve genellikle bunları eski sürüm numaraları altında geriye dönük olarak ekler, bu nedenle sürüm dizisinden ziyade CVE numaraları için değişiklik kaydını (changelog) kontrol edin. Desteklenmeyen 7.4, 8.0 ve 8.1 dalları yalnızca minimal kaynak geriye dönüşlerini (backport) alır. Hemen güncelleyemiyorsanız, PHP yönetici düzeyinde memory_limit=-1 ayarını önerir; çünkü doğrulanmış OOM sömürüsünün çalışmasını sağlayan öngörülebilir, istek başına bir limittir. session.upload_progress.enabled=0 ve PHP 8.5’te fatal_error_backtraces=0 ayarlarını ekleyin, ardından tüm çalışanları (worker) yeniden başlatın. Uygulamanız çok parçalı formları (multipart forms) kullanmıyorsa, bunları ön uçta (frontend) engelleyin. Bu ayarların hiçbiri tam çözüm değildir. Paylaşımlı hosting veya bir web sunucusu bulunan NAS durumunda, sağlayıcının hangi PHP sürümünü sunduğunu kontrol edin.

Kaynaklar

Garmin, popüler akıllı saate büyük güncelleme sürümüyle iki düzine iyileştirme getiriyor

Orijinal makalenin editörü:

– Teknoloji Yazarı

– Notebookcheck’te yayınlanan 313 makale

IT güvenliği ve yapay zekâ hakkında yazıyorum. Siber güvenlik, Golem.de için yaptığım düzenli konularımdan biri. Notebookcheck’te odak noktam günlük kullanıcılar için pratik yapay zekâ. Yıllardır yapay zekâyla doğrudan çalışıyorum; son olarak yapay zekâ ajanları ve günlük çalışmadaki kullanımları üzerine odaklandım ve araçları ve modelleri yalnızca okumak yerine kendim test ediyorum.

ile iletişim kurun: