PHP2Shell Zafiyeti Nedir? PHP Çekirdeğinde 10 Yıllık Tehlike (CVSS 9.2)

PHP ekibi, 21 Ekim’de çekirdek bellek yönetimi mekanizmalarındaki iki kritik zafiyeti gidermek amacıyla acil güvenlik güncellemeleri yayımladı. Wiz Research araştırmacıları tarafından ortaya çıkarılan ve CVE-2026-109618 ile CVE-2026-109619 kodlarıyla takip edilen bu açıkların, PHP çekirdeğinde 10 yılı aşkın süredir var olduğu ve yapay zeka destekli analizlerle çalışan sızma zincirlerine (exploit chain) dönüştürüldüğü bildirildi.

Söz konusu sızıntının ardından süreç, siber güvenlik kuruluşu Huntress tarafından da yakından takibe alındı. Güvenlik camiasında PHP2Shell adıyla anılan bu tehlike, özellikle web sunucuları için acil aksiyon alınmasını gerektiriyor.

PHP2Shell Zafiyetlerinin Teknik Detayları

Wiz Research tarafından detaylandırılan zafiyetler, PHP’nin bellek yönetimi katmanını doğrudan hedef alıyor:

• CVE-2026-109618 (Bellek Yetersizliği / OOM Hatalı İşleme): PHP’nin Yetersiz Bellek (Out-Of-Memory – OOM) durumlarında istemi hatalı sonlandırmasından kaynaklanmaktadır. İstek yarı yapılandırılmış nesnelerle kesintiye uğradığında bellek bozulması (memory corruption) meydana gelir ve bu durum yetkisiz Uzaktan Kod Çalıştırma (RCE) imkanı tanır.
• CVE-2026-109619 (Use-After-Free ve İstekler Arası Durum Koruma): Serbest bırakılmış belleğin tekrar kullanılması (Use-After-Free) ve durumun istekler arasında yanlış korunması hatasından beslenir. Bu açık sayesinde süreç belleğindeki hassas veriler (parolalar, token’lar, API anahtarları) sızdırılabilir veya keyfi kod çalıştırılabilir.

Wiz Research, bu açıkları kullanarak WordPress, Drupal ve Joomla kurulu varsayılan sistemlerde yetkisiz (unauthenticated) RCE senaryolarını ve bellekten hassas veri sızdırma tekniklerini başarıyla gösterdi.

Risk Boyutu ve Etki Alanı: Hangi Sunucular Tehdit Altında?

PHP 5.4 sürümünden itibaren yayınlanan hemen hemen tüm PHP versiyonları bu riskten potansiyel olarak etkilenmektedir.

Exploit geliştirme süreci bellek dizilimi (memory layout), PHP sürümü ve sunucu konfigürasyonuna bağımlı olduğu için yüksek karmaşıklığa sahiptir. Ancak bu durum riski azaltmaz; araştırmacıların elinde çalışan RCE konseptleri mevcuttur.

Medya Manşetlerine Dikkat: Basında yer alan “İnternetin %70’i hacklendi” şeklindeki haberler gerçeği yansıtmamaktadır. Bu oran PHP’nin web ekosistemindeki genel kullanım yaygınlığını ifade eder; başarıyla sızılmış sunucu sayısını değil.

Sistem Yöneticileri ve Geliştiriciler İçin Acil Aksiyon Planı

Altyapınızı emniyete almak için aşağıdaki adımları sırasıyla uygulamanız önerilir:

1. Tüm PHP Envanterini Tarayın: Docker vb. konteynerler ve uygulamaların içine gömülü PHP sürümleri dahil tüm ortamları tespit edin. İnternete açık ve mod_php çalıştıran sunuculara öncelik verin.
2. Sürümleri Acilen Yükseltin: Sunucularınızı zaman kaybetmeden aşağıdaki güncel kararlı sürümlere taşıyın:
   • PHP 8.2.35
   • PHP 8.3.36
   • PHP 8.4.27
   • PHP 8.5.12
3. Eski Sürümler (PHP 7.x) İçin Backport Yamaları: Doğrudan PHP 8’e geçiş yapamayan eski altyapılarda işletim sistemi sağlayıcınızın özel yamalarını kontrol edin. Örneğin Canonical, Ubuntu Pro/ESM kapsamında PHP 7.2 ve 7.4 için özel güvenlik yamalarını yayımlamıştır.
4. Geçici Sıkılaştırma Önlemleri (Mitigation): Güncelleme hemen uygulanamıyorsa riski azaltmak adına:
   • session.upload_progress.enabled = Off durumuna getirin.
   • POST istek boyutlarını sınırlandırın.
   • PHP resmi tavsiyelerine göre memory_limit = -1 yapılandırmalarını gözden geçirin.

   (Unutulmamalıdır ki geçici önlemler sadece belirli senaryoları engeller, yamanın yerini tutmaz.)

Sonuç

PHP2Shell, özellikle güncellenmeyen veya legacy (eski) PHP altyapıları için son yılların en ciddi tehditlerinden biridir. Panik odaklı manşetler yerine, sunucu yapılandırmanızı ve yama durumunuzu analiz ederek hızlıca güncelleme geçmek en doğru güvenlik yaklaşımı olacaktır.

Kaynaklar: Wiz Research Blog | PHP Official Security Advisory | Canonical Ubuntu Security Bulletins