Geçen hafta milyonlarca PHP sunucusunu risk altına sokan iki kritik zafiyeti ve kurumların atması gereken adımları ele almıştık. PHP2Shell adı verilen CVE-2026-109618 ve CVE-2026-109619 için tablo o günden bu yana belirgin şekilde değişti: Saldırılar, sunucuları çökerten denemelerden gerçekten komut çalıştıran shell’lere geçti ve ABD siber güvenlik ajansı CISA, iki açığı da Bilinen İstismar Edilen Zafiyetler (KEV) kataloğuna ekledi.
Henüz yama yapmadıysanız bu yazı, “ne zaman” sorusunun cevabının artık “hemen” olduğunu anlatıyor.
Zaman çizelgesi: Sızıntıdan çalışan shell’e
- Yamadan önce: Teknik ayrıntılar internete sızdı; istismar denemeleri yama yayımlanmadan başladı.
- 21 Ekim 2026: PHP, iki açığı düzelten acil sürümleri yayımladı.
- 23 Ekim 2026: CISA uyarısını bir Sigma tespit kuralıyla güncelledi; o tarihte başarılı istismar gözlemlemediğini belirtti.
- İlk bal küpü raporu: ~26 saatlik izlemede 30 bellek yetersizliği (out-of-memory) hatası ve 11 süreç çökmesi, ancak kod çalıştırma yok.
- 24 Ekim 2026: Üç bal küpünde (honeypot) toplam 35 shell açıldı: sahada doğrulanan ilk uzaktan kod çalıştırma.
- 26 Ekim 2026: CISA, her iki CVE’yi de KEV kataloğuna ekledi.
Bu arada güvenlik firmaları, yama sonrasında milyonlarca istismar denemesi kaydettiğini bildirdi.
Saldırı zinciri nasıl çalışıyor?
Perplexity araştırmacısı Adel Karimi’nin işlettiği bal küplerinde görülen saldırı, dört aşamalı bir HTTP istek zincirinden oluşuyor:
- Bellek tüketme: İlk istekler PHP’nin belleğini tüketerek süreci belirli bir duruma zorluyor.
- Bellek sızdırma: Sonraki istekler bellek içeriğini dışarı sızdırıyor.
- ASLR atlatma: Sızan bilgilerle, bellek adreslerini rastgeleleştiren ASLR korumasını aşmak mümkün hale geliyor.
- Komut çalıştırma: Son istek sunucuda bir shell komutu çalıştırıyor.
Trafik, kamuya açık bir kavram kanıtı (PoC) istismarıyla büyük ölçüde örtüşüyor ve CVE-2026-109618’in istismarıyla tutarlı. Bir IP adresi tek bal küpünde 3, bir diğeri üç bal küpünün tamamında 32 shell açtı. Gözlem süresince ikinci aşama bir zararlı yazılım indirmesi görülmedi; bu, saldırganların şimdilik erişimi doğruladığını ve hedef listesi topladığını düşündürüyor.
Expel’den Marcus Hutchins, bulguları sahadaki PHP2Shell istismarına dair o ana kadar gördüğü en yüksek kaliteli doğrulama olarak nitelendirdi.
Önemli bir not: Koşullar saldırganın lehineydi
Karimi’nin bal küpleri, Apache mod_php altında tek bir worker ile PHP 8.4.26 çalıştırıyordu. Araştırmacı bunun bilerek saldırgan lehine seçilmiş bir yapılandırma olduğunu, farklı kurulumlardaki güvenilirliği ölçmediğini vurguluyor. Ancak bu bir rahatlama nedeni değil: Saldırılar genellikle önce en kolay hedeflerde olgunlaşır, sonra yaygınlaşır.
Hangi sürümler güvenli?
PHP’nin 21 Ekim’de yayımladığı yamalı sürümler:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Desteği biten eski dallar (7.4, 8.0, 8.1) bu sürümlerin kapsamında değil. Bu dallar için kaynak kodu yaması yayımlandı ve bazı paketleyiciler bundan derleme üretti. Yine de desteği biten bir PHP sürümünü güvende saymayın; yükseltmeyi planlayın.
Dikkat: php -v sizi yanıltabilir
Ubuntu, Debian ve RHEL gibi dağıtımlar güvenlik düzeltmelerini çoğu zaman sürüm numarasını değiştirmeden paketlerine aktarır (backport). Örneğin yamalı bir Ubuntu 24.04 sunucusu php -v çıktısında hâlâ 8.3.6 gösterebilir. Yamanın uygulanıp uygulanmadığını sürüm numarasından değil, paket değişiklik kaydından (changelog) ve dağıtımın güvenlik bildiriminden doğrulayın. Üçüncü taraf PHP depolarının güncellemeleri ise resmi sürümden birkaç gün sonra gelebilir.
Kurumlar için kontrol listesi
1. Yamalayın ve süreçleri yeniden başlatın
Tüm PHP kurulumlarını yamalı sürümlere yükseltin. PHP-FPM, Apache (mod_php) ve konteynerler yeniden başlatılmadan eski kod bellekte çalışmaya devam eder. Konteyner imajlarını yamalı temel imajla yeniden derleyin.
2. Bilinmeyen PHP varlıklarını bulun
Unutulmuş yönetim panelleri, test ortamları, eski kampanya siteleri ve üçüncü taraf uygulamalar (CMS, e-ticaret, destek portalları) en sık atlanan hedeflerdir. Cortex Xpanse, internete açık varlıklarınızı saldırgan gözüyle keşfederek bu kör noktaları ortaya çıkarır.
3. İhlal varsayımıyla geriye dönük arama yapın
Yama tarihinden önce internete açık olan sistemlerde, en az 17 Ekim’e kadar geriye giderek şu izleri arayın:
- PHP loglarında art arda gelen bellek yetersizliği (out-of-memory) hataları ve worker çökmeleri
- Web sunucusu kullanıcısının (ör.
www-data) başlattığı beklenmedik süreçler ve dışarı bağlantılar - Web dizinlerinde yeni veya değişmiş dosyalar (web shell)
- CISA’nın yayımladığı Sigma kuralıyla SIEM’inizde tarama
Cortex XDR ve Cortex XSIAM gibi platformlar, sunucu üzerindeki şüpheli süreç zincirlerini ve web shell davranışlarını otomatik olarak tespit edip ilişkilendirir.
4. Yama süresince sanal yama uygulayın
Hemen yamalanamayan sistemler için Palo Alto Networks Advanced Threat Prevention gibi satır içi önleme katmanları, istismar trafiğini ağ seviyesinde durdurarak zaman kazandırır. Güvenlik profillerinizin ilgili trafiğe uygulandığını ve “engelle” modunda olduğunu kontrol edin.
5. Gereksiz maruziyeti kaldırın
Yönetim arayüzlerini ve iç uygulamaları internetten kaldırın; erişimi VPN veya Zero Trust ağ erişimiyle (ZTNA) sınırlayın. İnternete açık olmayan bir PHP uygulaması, bu tür kampanyaların ilk dalgasında hedef olmaz.
Neden bu kadar hızlı ilerledi?
PHP2Shell, öncü yapay zeka çağında zafiyet yaşam döngüsünün ne kadar kısaldığının somut bir örneği: Teknik ayrıntıların sızması, yama öncesi denemeler, birkaç gün içinde çalışan istismar ve beş gün içinde CISA KEV kaydı. Bu hızda “bir sonraki bakım penceresinde yamalarız” yaklaşımı yeterli değil. Kalıcı savunma; güncel varlık envanteri, hızlı yama süreci, yama süresini kapatan ağ katmanı koruması ve ihlali erken yakalayan tespit yeteneklerinin birlikte çalışmasından geçiyor.
Albisec olarak internete açık PHP varlıklarınızın envanterini çıkarabilir, Palo Alto Networks güvenlik profillerinizi PHP2Shell’e karşı gözden geçirebilir ve olası bir ihlal için hızlı inceleme yapabiliriz. Bizimle iletişime geçin veya destek talebi oluşturun.
Kaynaklar: SecurityWeek, “PHP2Shell Exploitation Moves From Probes to Working Shells”, Eduard Kovacs, 26 Ekim 2026 (27 Ekim’de güncellendi); PHP 21 Ekim 2026 güvenlik sürümleri. Görsel: Albisec.
