PHP web sunucularını hedef alan iki kritik açık son günlerde aktif olarak sömürülmeye başladı ve milyonlarca site risk altında bulunuyor. Bilgisayar Ulusal Güvenlik Ajansı (CISA), 26 Ekim'de bu açıkları bilinen istismar edilen güvenlik açıkları kataloğuna ekledi. Yapay zekâ şirketi Perplexity'nin Tespit ve Yanıt Müdürü Adel Karimi, 24 Ekim'de honeypot sistemlerine karşı başarılı saldırıları doğrulayarak, sadece sistem çökmesinden değil tam kod yürütme elde ettiğini kanıtladı. Saldırılar sırasında 800 kilobaylık ve içinde kritik veri bulunan çerez döküntüleri sızdırılmıştı. Bu bulgu, açıkların ne kadar tehlikeli olduğunu gösteriyor.

İki farklı açık bir saldırı zincirinde birleşiyor

PHP2Shell olarak bilinen açıklar, CVE-2026-109618 ve CVE-2026-109619 kodlu iki kusur: İlki bellek dışı taşma (buffer overflow), ikincisi ise eski iç istek durumundan kaynaklanan açık. Her ikisi de kimlik doğrulaması olmaksızın uzaktan kod yürütmesine (RCE) izin veriyor. CVSS 9.2 puanı alan bu açıklar, tehlike seviyesi açısından kritik sınıfında yer alıyor.

Saldırı zinciri iki aşamada işliyor: İlk açık bellek sızıntısı oluşturarak fonksiyon adreslerini ve sistem mimarisini ortaya çıkarıyor. Saldırgan bu bilgiler sayesinde hedefi daha kesin tanımlıyor. Ardından ikinci açık kullanılarak veri yükü çalıştırılıyor. Sonuç olarak saldırganlar saldırıya uğrayan sunucu üzerinde tam kontrol sağlıyor.

Milyonlarca sunucu riski gözüyle izleniyor

PHP internet sitelerinin yaklaşık yüzde 70'inde kullanılıyor; bu sayı dünya genelinde milyonları aşıyor. Araştırma firması Censys'in taramasına göre, bu açıklara duyarlı PHP sürümleri hâlâ 32 milyon 510 bin web sunucusunda çalışıyor. Bu sunucular, şirket iç ağlarında çalışan kritik uygulamalardan e-ticaret platformlarına, finansal sistemlere ve haber sitelerine kadar geniş bir yelpazede yer alıyor.

Bu açıklar PHP'nin 8.5, 8.4, 8.3 ve 8.2 sürümlerini etkiliyor. Yamalar 21 Ekim'de yayımlandı; güncel sürümler sırasıyla PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Microsoft Windows'ta çalışan sunucular için de 26 Ekim'de özel yama sürümleri (8.5.12-1, 8.4.27-1, 8.3.36-1 ve 8.2.35-1) çıktı. Aynı tarihte Brotli çözücü yazılımında CVE-2026-111497 kodlu ek bir açık daha kaydedildi ve yamalandı.

Acil eylem zorunlu, son tarih 29 Ekim

Amerikan federal kuruluşlarının bu yamaları uygulaması için CISA'nın belirlediği son tarih 29 Ekim. CISA'nın resmi kataloğa eklenmesi, tehdidin en üst düzeyde ciddiye alınması gerektiğini gösteriyor. Hükümet kurumları, bankacılık sistemi, sağlık kurumları, enerji şirketleri ve telekom operatörleri bu listede yer alıyor. Türkiye'de de kamu ve özel sektörde sayısı milyonları aşan PHP sunucusu vardır.

Saldırganlar zaten bu açıkları istismar ediyorlar. Kaynakta belirtildiği üzere ABB, Arista, Citrix, Dell, Drupal, F5, HP, IBM, NETGEAR, QNAP, Salesforce, Siemens, SonicWall, Synology, Veeam ve WordPress gibi büyük yazılım ve donanım şirketleri resmi güvenlik danışmanları yayınladı. Site ve sunucu yöneticilerinin en kısa sürede yamaları uygulaması gerekiyor.