PHP2Shell: Acil Güvenlik Uyarısı Tetikleyen İki Yama Olmayan Kritik PHP RCE Açığı (CVSS 9.2).

Görsel Kaynağı: The Hacker News

Bu gelişmekte olan haber, PHP’nin planlı 21 Ekim 14:00 UTC sürümünden önce yazılmıştır. Sürüm yayınlandıktan sonra, aşağıdaki etkilenen ve düzeltilen sürümler resmi uyarıyla teyit edilmektedir.

PHP, güvenlik ekibinin CVSS v4.0 ölçeğinde 9.2 olarak derecelendirdiği ancak açıklamadığı iki kritik açığı içeren, döngü dışı bir güvenlik sürümünü bugün, 21 Ekim 14:00 UTC’de yayımlayacak.

⚡ UYARI — PHP, Yama Olmayan Bir RCE Açığı CVE-2026-115560 için Uyarıda Bulunuyor

watchTowr’ün güvenlik araştırmacıları, bu iki açığın uzak kod yürütme (RCE) izni verdiğini söylüyor. Yalnızca desteklenen dört PHP dalı olan 8.2’den 8.5’e kadar güncelleme alabilecek ve şu ana kadar bir sömürü bildirilmemiştir.

Ön uyarı, bir sızıntının ardından geldi. 20 Ekim’de HN’deki bir gönderide, PHP’nin iki uzak kod yürütme açığının CVSS 10.0 olarak derecelendirileceği ve PHP 5’ten itibaren tüm sürümleri etkileyeceği, 22 Ekim Perşembe günü açıklanacağı belirtildi. Gönderide, “sadece ‘kaynak: bana güven, kardeş’ ötesinde kanıtım yok” ifadesi yer aldı.

watchTowr ardından X’te, sızıntının gerçek olduğunu, iki açığın embargo altında olduğunu, herkesin Perşembe gününe kadar beklemesi gerektiğini ve şu an için daha fazlasını paylaşamayacağını belirtti.

PHP, uyarısını o akşam 19:33 UTC’de yayımladı ve sürümü Perşembe’ye, watchTowr’ün belirttiği tarihten bir gün önceye aldı. Uyarı, PHP’nin “bu açıklamalardan herhangi birinin halka açıklanması ya da vahşi doğada aktif sömürü kanıtının ortaya çıkması durumunda” daha erken sürüm yapabileceğini belirtiyor.

Sızıntı, açıkların varlığını, bir puanı, bir tarihi ve iki CVE kimliğini taşıyordu; açıkların nasıl çalıştığını değil. CVSS 10.0 puanı sızıntının puanıdır. PHP’nin puanı, ölçeğin 4.0 sürümünde 9.2’dir.

Araştırmacıların kullandığı CVE-2026-109618 ve CVE-2026-109619 kimlikleri, sızıntı gönderisinde de listelenmişti. PHP’nin uyarısı bu kimliklerden hiçbirini adlandırmıyor. PHP 5’ten itibaren her sürümün etkilendiği iddiası da teyit edilmiş değil: watchTowr’ün açıklarla ilgili kendi SSS’si, bu kapsamın “resmi bir tedarikçi uyarısıyla teyit edilmediğini” ve hiçbir yapılandırma ya da özellik gereksiniminin açıklanmadığını belirtiyor.

PHP, “Tam bilgiler, etkilenen sürümler ve düzeltilen sürümler yayımlanmayla birlikte paylaşılacak” dedi. Araştırmacılar bu açıkları php2shell olarak adlandırmaya başladı. İsim onların, PHP’nin değil.

Etkilenen aralık ne çıkarsa çıksın, PHP düzeltmeleri yalnızca dört desteklenen dalı için yayımlar ve her dalın değişikliklerini sürüm notlarına kaydeder. 8.2 ve 8.3 yalnızca güvenlik düzeltmeleri alır, 8.4 ve 8.5 ise aktif destek durumundadır. Yayımlamadan önce, Alpine Linux ve güvenlik araştırmacısı Kevin Beaumont dahil birkaç takipçi, düzeltmelerin her dalın bir sonraki nokta sürümü olan PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 olarak ships edileceğini öngörüyor; ancak PHP sayıları doğrulamadı.

8.1, 8.0, 7.x ve 5.x dahil bunlardan daha eskileri ömrünü tamamlamış durumdadır ve PHP düzeltmesi almaz. Açıklar bu dallara ulaşırsa, üzerindeki kurulumlar satıcı yaması alamaz.

Güvenlik şirketi Mallory, 20 Ekim’de Shodan arama motoruna HTTP banner’ının PHP sürümünü 8.1 veya daha eski olarak bildiren yaklaşık 884.000 internete açık ana makine saydı; bu, herhangi bir sürüm bildiren yaklaşık 1.5 milyon ana makinenin yüzde 59’u. Sayım, onaylanmış etkilenen sistemleri değil, banner’ları kapsar ve ayrıca 740.000 ana makine sürümü belirtilmemiş PHP bildirdi.

PHP, herhangi bir geçici çözüm yayınlamadı. Yama yayınlanana kadar hazırlık altı adıma indirgeniyor; bunların çoğu Huntress’ın hızlı müdahale yazısından alınmış, CERT-EU’nun izole etme önerisi de eklenmiş durumda.

1. PHP’nin tüm kurulumlarını envanterleyin; buna tedarikçi cihazlarında yerleşik PHP, Windows yazılımları ve cPanel ve Plesk gibi kontrol panelleri dahil.
2. Saat 14:00 UTC’de güncelleştirmeye hazır olun. Önce internete açık sistemleri yamalayın ve Linux dağıtımınızın ile hosting sağlayıcınızın geriye dönük (backport) paketleri için kontrol edin.
3. Ömrü tükenmiş bir dalda, ya güncelleştirin ya da sistemi internetten çekin ya da mümkün olana kadar bir VPN veya web uygulaması güvenlik duvarının arkasına alın.
4. Yamalama anında yapılamıyorsa, CERT-EU “bir çözüm kullanılabilir olana kadar internete açık uygulamaları halka açık ağlardan izole etmeyi düşünün” önerisinde bulunuyor.
5. PHP’nin neyi başlattığına dikkat edin. php-fpm, php-cgi, httpd veya apache2’nin kabuklar, yorumlayıcılar veya indirme araçları başlatmasına yönelik uyarılar. Uç nokta algılaması olmayan Linux sunucularında, Florian Roth’un süreç izleyicisi bir PHP sürecinin başlattığı her programı komut satırıyla birlikte loglar. Bir programı ancak başlattıktan sonra görür ve Roth’un sözleriyle “hiçbir şeyi engellemez.”
6. Bir şey bulursanız, sunucuyu izole edin, web sunucusunun ve PHP loglarını koruyun ve web kabukları, web kökündeki yeni dosyalar, yeni cron işleri, zamanlanmış görevler ve hesaplar için araştırma yapın.

Huntress, 20 Ekim itibarıyla ortak ortamlarında açıklanan açıkların istismar edildiğini görmediğini, kanıt kavramı (proof of concept) oluşturmadığını veya yeniden üretmediğini ve halka açık istismar kodundan haberi olmadığını belirtti. watchtowr’ın SSS’si, 21 Ekim itibarıyla istismar rapor edilmediğini ve açıkların CISA‘nın Bilinen İstismar Edilen Açıklar kataloğunda yer almadığını listeliyor.

Karşılaştırma için, CGI modunda Windows’ta çalışan bir PHP açığı olan CVE-2024-4577, Haziran 2024’te halka açık hale geldiğinde Akamai, 24 saat içinde tuzak sunucularına (honeypot) yönelik istismar denemeleri gözlemişti.

Yayının, bildiride saklananların ne olduğunu açıklaması bekleniyor: Hangi sürümlerin etkilendiği, PHP’nin hangi bölümünün dahil olduğu, bir saldırının PHP’yi çalıştırmanın belirli bir biçimine, bir yapılandırmaya veya bir girişe ihtiyaç olup olmadığı ve PHP’nin açıkları nasıl tanımladığı. Yazıldığı anda, PHP düzeltmeleri yayınlamıştı.