Kritik PHP açığı PHP2Shell: Siber Güvenlik Başkanlığı uyardı

PHP geliştirme ekibi 21 Ekim 2026'da, PHP yorumlayıcısının çekirdeğinde bulunan iki kritik güvenlik açığı için acil yama yayınladı. Güvenlik dünyasında PHP2Shell adıyla anılan CVE-2026-109618 ve CVE-2026-109619 kodlu açıklar, CVSS v4.0 ölçeğinde 9.2 puanla derecelendirildi. Her iki açık da saldırganın kullanıcı adı ve parola olmadan, yalnızca web sunucusuna istek göndererek sunucuda kod çalıştırmasına imkân verebiliyor.

Sorunun kaynağı uygulama kodunda değil, PHP'nin hata yönetiminde. Bellek yetersizliği ve ölümcül hata durumlarında kullanılan longjmp() çağrısı, bellek bölgelerini temizlenmemiş veya serbest bırakılmış hâlde bırakıyor. Sonraki istekler bu belleği okuyabildiği için saldırgan kontrolü ele geçirebiliyor. PHP Grubu, web isteği sunan tüm PHP kurulumlarının risk altında olduğunu; PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed dağıtımlarının etkilendiğini bildirdi.

Neden bu kadar önemli?

Palo Alto Networks Unit 42'nin 23 Ekim tarihli raporuna göre, Cortex Xpanse taramalarında internete açık ve potansiyel olarak savunmasız 22,6 milyondan fazla PHP örneği tespit edildi. Unit 42 ayrıca kavram kanıtı kodlarının dolaşımda olduğunu ve bir Avrupa ülkesinin kamu kurumuna yönelik saldırıda, ilk sızmadan sonraki iki saat içinde parola özetlerine ve çok faktörlü doğrulama anahtarlarına erişildiğini aktardı. ABD'nin siber güvenlik kurumu CISA da 21 Ekim'de açıkların acilen yamalanması çağrısı yaptı.

Yama alan sürümler 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. PHP 8.1 ve öncesi sürümler destek dışı olduğu için resmî düzeltme almıyor; bu kurulumların desteklenen bir sürüme taşınması gerekiyor.

Türkiye ve KOBİ tarafındaki karşılığı

Siber Güvenlik Başkanlığı 22 Ekim'de ulusal ölçekte uyarı yayımladı; kamu kurumları, kritik altyapı işletmecileri ve özel sektör kuruluşlarını kullandıkları PHP altyapısını gözden geçirmeye ve güncellemeleri gecikmeden uygulamaya çağırdı. Başkanlık, 69 milyonun üzerinde kullanıcısı bulunan e-Devlet Kapısı'nda yapılan kontrollerde hizmet güvenliğini etkileyen bir bulguya rastlanmadığını, kamu dijital hizmetlerinin kesintisiz sürdüğünü de duyurdu.

KOBİ tarafında tablo daha dağınık. Kurumsal web siteleri, WordPress ve benzeri içerik yönetim sistemleri, müşteri paneli yazılımları, phpMyAdmin, Plesk ve cPanel gibi sunucu kontrol panelleri ile yıllar önce yazdırılmış özel ERP ve teklif uygulamaları PHP üzerinde çalışıyor. Çoğu şirket bu kurulumların hangi PHP sürümünde olduğunu bilmiyor. Paylaşımlı hosting hesaplarında sürüm seçimi genellikle müşteride olduğu için, hosting sağlayıcısının yama yapması tek başına yeterli olmayabiliyor.

Kamer Bilişim olarak ne öneriyoruz?

• Önce envanter çıkarın. Kurum içi sunucular, sanal makineler, hosting hesapları ve kontrol panelleri dâhil olmak üzere PHP çalıştıran her sistemi listeleyin. Hosting panelinizden ya da sunucuda php -v komutuyla aktif sürümü doğrulayın. Vendor yazılımlarının içinde gömülü gelen PHP kurulumlarını atlamayın.
• Yamalı sürüme geçin ve servisi yeniden başlatın. 8.5.12, 8.4.27, 8.3.36 veya 8.2.35'e yükseltin; dağıtımınızın geri port edilmiş paketini kullanıyorsanız sağlayıcınızla doğrulayın. Güncellemeden sonra PHP-FPM veya web sunucusunu yeniden başlatmazsanız eski sürüm bellekte çalışmaya devam eder.
• Destek dışı sürümleri internetten ayırın. PHP 8.1 ve öncesinde kalan uygulamalarınız varsa bunları desteklenen sürüme taşıyana kadar VPN veya WAF arkasına alın, mümkünse dışarıya kapatın. Yamadan sonra da web ve PHP kayıtlarını web shell, yeni dosya ve beklenmedik zamanlanmış görev işaretleri için geriye dönük inceleyin: yama, daha önce gerçekleşmiş bir sızmayı geri almaz.

İstanbul Anadolu Yakası'ndaki ofisinizde veya uzaktan destekle, sunucularınızdaki ve hosting hesaplarınızdaki PHP sürümlerini çıkarmak, güncelleme planını birlikte yürütmek ve sonrasında kayıt incelemesi yapmak için iletişim sayfamızdan bize ulaşabilirsiniz.

Kaynak: Unit 42 (Palo Alto Networks), Siber Güvenlik Başkanlığı, PHP Grubu güvenlik duyurusu, CISA, Huntress