PHP2Shell: Tüm PHP 7 ve 8 Sürümlerini Etkileyen Kritik Açık Yamadan Önce İstismar Edildi
PHP çekirdeğindeki PHP2Shell açıkları, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya izin veriyor ve tüm PHP 7.x ile 8.x sürümlerini etkiliyor. Amazon, ilk istismar girişimini yamadan dört gün önce tespit etti. Hemen yapmanız gerekenler.
PHP çekirdeğinde bulunan ve PHP2Shell adı verilen iki kritik açık, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya izin veriyor ve tüm PHP 7.x ile 8.x sürümlerini etkiliyor. Amazon, ilk istismar girişimini yamaların yayımlanmasından dört gün önce tespit etti. Web'in büyük bölümü PHP ile çalıştığı için bu, yılın en geniş etkili açıklarından biri.
Ne Oldu?
The Hacker News'in 22 Ekim tarihli haberine göre:
Açıklar CVE-2026-109618 ve CVE-2026-109619 olarak izleniyor; ikisinin de CVSS puanı 9.2.
Açıklar PHP çekirdeğinin bellek yönetimi ve hata işleme bölümlerinde. Saldırgan için oturum açmak veya belirli bir savunmasız uç nokta bulmak gerekmiyor; neredeyse her istek bu bölümlerden geçiyor.
Koordineli duyuru 22 Ekim için planlanmıştı, ancak ayrıntıların sızması üzerine PHP Foundation yamaları bir gün erken, 21 Ekim'de yayımladı.
Amazon'un tuzak sistemi MadPot, ilk istismar girişimini 17 Ekim'de kaydetti. 21 Ekim'de yamaların yayımlanmasıyla birlikte farklı kaynaklardan çok sayıda girişim görüldü.
CISA ve Birleşik Krallık NCSC, yamaların bir an önce uygulanmasını, mümkün değilse etkilenen sistemlerin çevrim dışı alınmasını önerdi.
Neden Bu Kadar Kritik?
PHP; WordPress, WooCommerce, Magento, Laravel ve sayısız özel uygulamanın altyapısını oluşturuyor. Paylaşımlı barındırma ortamlarında, eski sunucularda ve unutulmuş kampanya sitelerinde eski PHP sürümleri hâlâ yaygın. Açık PHP'nin kendisinde olduğu için uygulamanız ne kadar güvenli yazılmış olursa olsun etkilenebilir.
Ayrıca haberde aktarılan uzman yorumlarına göre bu saldırılar uygulama loglarında çok az iz bırakabiliyor. Sunucu tarafındaki tek işaret, kolayca göz ardı edilebilecek bir bellek sınırı hatası olabilir.
Hemen Yapılması Gerekenler
PHP envanteri çıkarın: Tüm sunucularda, konteyner imajlarında ve işletim sistemiyle gelen paketlerde hangi PHP sürümlerinin çalıştığını belirleyin.
Yamalı sürüme geçin: Desteklenen sürüm dallarının en güncel yamalı sürümlerini php.net üzerinden kontrol edip uygulayın. Dağıtım veya barındırma panelinizin yayımladığı güncellemeleri takip edin.
PHP 7.x'te kalmayın: PHP 7.x uzun süredir resmî destek dışında. Bazı sağlayıcılar eski sürümler için yamalı paketler yayımlasa da kalıcı çözüm desteklenen bir PHP 8 sürümüne yükseltmektir.
Geçici koruma: Yama hemen uygulanamıyorsa WAF kurallarıyla zaman kazanın; ancak saldırganların yükleri değiştirerek bu korumaları atlatmaya çalıştığını unutmayın.
Süreç izlemesi: PHP süreçlerinin kabuk (shell) başlatması veya dosya indirmesi gibi anormal davranışlara alarm kurun.
17 Ekim'den itibaren inceleyin: Amazon, araştırmanın en az 17 Ekim'den başlatılmasını öneriyor. Beklenmeyen dosyalar, yeni yönetici hesapları ve şüpheli çıkış bağlantıları için kontrol yapın.
Etki Kimin İçin En Yüksek?
Ortam | Risk | Not |
|---|---|---|
Paylaşımlı barındırma | Yüksek | Güncelleme sağlayıcıya bağlı, çok sayıda site aynı sunucuda |
Eski / unutulmuş siteler | Çok yüksek | Çoğu zaman eski PHP sürümleriyle çalışır, kimse izlemez |
Konteyner tabanlı uygulamalar | Orta | İmajların yeniden derlenip dağıtılması gerekir |
Yönetilen sunucular | Düşük-orta | Yama süreci tanımlıysa hızlı kapanabilir |
Yama ile saldırı arasındaki sürenin daraldığını SAP zafiyeti yazımızda anlatmıştık. PHP2Shell'de bu süre negatife döndü: Saldırı, yamadan önce başladı.
Sık Sorulan Sorular
WordPress sitem etkilenir mi?
WordPress PHP ile çalıştığı için sunucunuzdaki PHP sürümü yamalı değilse etkilenebilir. WordPress'i güncellemek yetmez; PHP'nin kendisinin güncellenmesi gerekir.
Hangi PHP sürümünü kullandığımı nasıl öğrenirim?
Sunucuda php -v komutuyla veya barındırma panelinizin PHP ayarları bölümünden öğrenebilirsiniz. Birden fazla PHP sürümü kurulu olabileceğini unutmayın.
WAF beni tamamen korur mu?
Hayır. WAF zaman kazandırır ama saldırganlar yükleri değiştirerek kuralları atlatmaya çalışıyor. Kalıcı çözüm yamadır.
Olfe ile Yama Yönetimi
Olfe'nin yönetilen hizmetleri; sistem güncellemeleri, yama yönetimi, sunucu izleme ve güvenlik yapılandırmasını kapsar. Fiziksel ve bulut sunucularınızdaki PHP sürümlerini birlikte gözden geçirmek için bizimle iletişime geçin.
Sonuç
PHP2Shell, internetin temel taşlarından birinde, yamadan önce istismar edilen bir açık. Bu hafta yapılacak en önemli iş basit: Her sunucuda PHP sürümünü kontrol etmek ve güncellemek.