CISA: PHP2Shell Açıkları Aktif Olarak Sömürülüyor, Uzaktan Kod Çalıştırma İmkanı Sağlıyor.

Görsel Kaynağı: The Hacker News

Amerika Birleşik Devletleri Siber Güvenlik ve Güvenli Altyapı Ajansı (CISA), Pazartesi günü, yakın zamanda yamalanmış olan PHP2Shell açıklarının aktif olarak sömürüldüğünü, bunları Bilinen Sömürülen Açıklar (KEV) kataloğuna ekleyerek onayladı.

Her iki CVSS puanlama sisteminde de 9.2 olarak derecelendirilen PHP açıkları, etkilenen dağıtımlarda kimlik doğrulamadan uzak kod çalıştırma imkânı sağlar –

• CVE-2026-109618 – Kimlik doğrulamadan uzak kod çalıştırma imkânı sağlayan bir bellek aşırılığı (out-of-memory) bozulma açığı.
• CVE-2026-109619 – Kimlik doğrulamadan uzak kod çalıştırma imkânı sağlayan bir eski iç istek durum açığı.

Bu iki açığın KEV kataloğuna eklenmesi, Perplexity’nin tespit ve müdahale lideri Adel Karimi’nin 24 Ekim 2026 tarihinde tuzak sistemlere (honeypot) yönelik başarılı uzak kod çalıştırma vakalarını onaylamasının ardından geldi.

“Bu artık sadece bir çökme ve ardından şüpheli bir süreç değil, kullanılabilir bellek ifşası ile birlikte onaylanmış uzak kod çalıştırma (RCE). Yanıt, 800 KiB decoded çerez (cookie) dökümü sağladı ve halka açık sömürü aracının ofsetleri kullanılarak bu dökümden türetilmiş bir fonksiyon adresi, ardından gelen çalıştırma yükünde (payload) görünüyor,” dedi Karimi.

“Kanıtlar, bu zincirin kasıtlı olarak uygun tek işleyici (single-worker) mod_php profilinde gösterildiğini kanıtlıyor; bu, diğer işleyici sayılarındaki, PHP yapılarındaki veya uygulamadaki sömürü güvenilirliğinin bir ölçümü değildir.”

Açıklar, 21 Ekim 2026 tarihinde yayınlanan PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde giderildi. Federal ajansların gerekli düzeltmeleri uygulama süresi 29 Ekim 2026 tarihine kadar.

PHP: Hypertext Preprocessor’ın kısaltması olan PHP, internetteki tüm sitelerin yaklaşık %70’inde kullanılan bir sunucu tarafı betikleme dilidir. Censys tarafından paylaşılan tahminlere göre, 32,51 milyondan fazla PHP hizmeti hâlâ etkilenen bir sürüm çalıştırıyor.

Açıkların ciddiyeti, dünyanın dört bir yanındaki yazılım ve güvenlik tedarikçilerini ve devlet ajanslarını, şunları içeren çok sayıda uyarı yayınlamaya itti –

• ABB
• Arista Networks
• Belden
• Broadcom
• Canon
• Citrix
• Craft CMS
• Dell
• Dormakaba
• Drupal
• ExpressionEngine
• F5
• Hikvision
• HP
• HPE
• Hitachi Energy
• HMS Networks
• Huawei
• IBM
• Ivanti
• Johnson Controls
• Mitel
• Moxa
• NETGEAR
• October CMS
• Okta
• QNAP
• Rockwell Automation
• Ruckus Wireless
• Salesforce
• Schneider Electric
• Siemens (1), (2)
• SonicWall
• Splunk
• Synology
• Veeam
• Wibu-Systems
• WordPress

26 Ekim 2026 itibarıyla PHP Vakfı, Brotli kod çözücü kütüphanesindeki ayrıcalık yükseltme ve kimlik doğrulaması gerektiren uzak kod çalıştırma ile sonuçlanabilecek bir bellek dışı yazma açığı olan CVE-2026-111497’i gidermek için Windows sürümleri olarak 8.5.12-1, 8.4.27-1, 8.3.36-1 ve 8.2.35-1’i yayımladı.

Açık, ayrıca Broccoli2Shell, HTTP2Shell ve Node2Shell olarak bilinen açıklık, 1.0.3’ten 1.0.9’a, 1.1.0’a ve 1.2.0’a kadar olan Brotli sürümlerini etkiliyor. 1.0.10, 1.1.1 ve 1.2.1 sürümlerinde düzeltilmiş olup C kütüphanesini içeren Node.js, Bun, Envoy Proxy, Istio, .NET ve Python gibi diğer projelerde de yer alıyor.

“PHP Windows sürümlerinde, açıklı kod çözücü, otomatik HTTP yanıtı sıkıştırma açma özelliği etkinleştirildiğinde cURL eklentisi aracılığıyla erişilebilir” dedi PHP Vakfı. “Bu özellik cURL’de varsayılan olarak kapalıdır, ancak uygulamalar ve HTTP istemci kütüphaneleri bunu etkinleştirebilir.”