PHP ekibi 21 Ekim'de acil güvenlik sürümü yayımladı; iki açık kimlik doğrulaması olmadan uzaktan kod çalıştırmaya izin veriyor. Siber Güvenlik Başkanlığı aynı gün ulusal uyarı yaptı.
PHP geliştirici ekibi 21 Ekim 2026'da planlanmamış bir acil güvenlik sürümü yayımladı. Topluca "PHP2Shell" olarak adlandırılan iki zafiyet, CVE-2026-109618 ve CVE-2026-109619, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya imkân veriyor. Arctic Wolf'un analizine göre iki açık da CVSS 4.0 ölçeğinde 9,2 puanla kritik sınıfında. Türkiye'de Siber Güvenlik Başkanlığı aynı gün ulusal ölçekte uyarı yayımladı; duyuru siberguvenlik.gov.tr üzerinde tr-26-1372 numarasıyla erişilebilir.
Açık nerede, neden farklı?
Bu kez sorun web uygulamanızın kendi kodunda değil, PHP'nin istek işleme döngüsünde. Palo Alto Networks Unit 42'nin teknik özetine göre CVE-2026-109618, bellek yetersizliği durumunda istek belleğinin yarım kalmasından; CVE-2026-109619 ise ölümcül hata sonrası serbest bırakılmış belleğe işaret eden genel değişkenlerin sonraki isteklerde yeniden kullanılmasından kaynaklanıyor.
Pratik sonucu şu: sitenizin yazılımı ne kadar düzgün yazılmış olursa olsun risk ortadan kalkmıyor. Arctic Wolf PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed yapılandırmalarının tamamının etkilenebileceğini, PHP'yi paket içinde barındıran cihaz ve yazılımların da kapsama girdiğini belirtiyor. En yüksek risk Apache mod_php tarafında: istismar, uygulama kodu hiç çalışmadan tek bir kimlik doğrulamasız istekle gerçekleşebiliyor.
Yama durumu ve sahadaki tablo
Yamalı sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Kritik ayrıntı şurada: PHP 8.1 ve öncesi destek dışı olduğu için üst kaynaktan düzeltme almıyor. The Hacker News'in aktardığı Mallory taramasında, 20 Ekim itibarıyla sürüm bilgisi veren yaklaşık 1,5 milyon internete açık sunucunun %59'u — yani 884 bin civarı — PHP 8.1 veya daha eskisini bildiriyordu. Bunlar doğrulanmış zafiyetli sistem sayısı değil, banner sayımı; yine de eski sürümlerin ne kadar yaygın olduğunu gösteriyor.
Unit 42'nin 29 Ekim güncellemesi, açığın internete açık PAN-OS yönetim arayüzlerine karşı aktif olarak istismar edildiğini bildiriyor. Arctic Wolf ise yayından kısa süre sonra yaygın tarama ve istismar doğrulama trafiği gözlemlediğini, kamuya açık kanıt kodunun mevcut olduğunu, ancak geniş ölçekte güvenilir istismarın şimdilik sınırlı kaldığını belirtiyor.
Türkiye'deki KOBİ'ler için ne anlama geliyor?
Türkiye'de KOBİ'lerin kurumsal sitesi, e-ticaret altyapısı, bayi paneli, teklif formu ve müşteri portalı ağırlıklı olarak PHP üzerinde çalışıyor; WordPress ve OpenCart gibi yaygın platformlar da bu kapsamda. Paylaşımlı hostingte PHP sürümünü sağlayıcı yönetiyor gibi görünse de, sürüm seçimi çoğu kontrol panelinde müşteriye bırakılmış durumda — yani "sağlayıcı hallediyordur" varsayımı güvenli değil. Kendi sunucusunu veya VPS'ini işleten firmalarda sorumluluk tamamen şirkette.
İkinci risk katmanı iç ağda: web sitesi üzerinden ele geçirilen bir sunucu, aynı ağdaki dosya veya muhasebe sunucusuna geçiş noktası olabilir. Kişisel veri içeren bir ihlal gerçekleştiğinde ise KVKK'ya bildirim yükümlülüğü devreye girer.
Kamer Bilişim olarak ne öneriyoruz?
- Önce envanter çıkarın, sonra yama planlayın. Web sunucularınızda, VPS'lerinizde ve hosting panellerinizde çalışan PHP sürümlerini tek tek listeleyin. Cihaz ve uygulamaların içine gömülü PHP kurulumlarını da unutmayın. 8.2.35, 8.3.36, 8.4.27 veya 8.5.12'nin altındaki her kurulum yama bekliyor; güncelleme sonrası PHP işçi süreçlerini yeniden başlatmayı atlamayın.
- Yönetim arayüzlerini internete kapatın. Sunucu, güvenlik duvarı ve panel yönetim arayüzlerinin herkese açık olmasına gerek yok. Bu arayüzleri VPN arkasına alın ya da yalnızca bilinen IP adreslerine açın. Unit 42'nin bildirdiği aktif istismar vakalarının ortak noktası tam olarak buydu: internete açık yönetim arayüzü.
- Destek dışı PHP sürümlerinden çıkış takvimi belirleyin. PHP 8.1 ve öncesinde kalan sistemler bu açık için üst kaynaktan yama almayacak. Dağıtım sağlayıcınızın geri taşıma yaptığı bir paket yoksa, uygulamayı desteklenen bir sürüme taşıyın. Bu geçiş test gerektirdiği için acil durumda değil, planlı yapılmalı.
Sunucularınızda hangi PHP sürümlerinin çalıştığından emin değilseniz veya yama planını tek seferde çıkarmak istiyorsanız, iletişim sayfamızdan bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz.
Kaynak: Arctic Wolf, Palo Alto Networks Unit 42, The Hacker News, T.C. Siber Güvenlik Başkanlığı (duyuru tr-26-1372)
Kaynak: Arctic Wolf