Kritik PHP Açıkları, Acil Yama Öncesinde Devlet Sitelerini Çevrimdışı Bıraktırdı

The Hacker News ve güvenlik firması Sansec'e göre, PHP geliştirme ekibi, ayrıntıların bir gün önce internete sızmasının ardından iki kritik güvenlik açığını gidermek için 21 Ekim 2026'da 14:00 UTC'de olağan döngü dışı bir güvenlik sürümü planladı. Açıklar CVE-2026-109618 ve CVE-2026-109619 olarak izlendi ve araştırmacılar tarafından gayri resmi olarak "PHP2Shell" adıyla anıldı; The Hacker News'in bildirdiğine göre PHP'nin kendi ekibi bu adı benimsemedi.

Güvenlik açıkları nedir?

Sansec'in teknik incelemesine göre CVE-2026-109618, PHP'nin yükleme ilerlemesi (upload-progress) işleme mekanizmasındaki bir use-after-free (serbest bırakıldıktan sonra kullanım) hatası olup, şifreler, oturum belirteçleri ve TLS özel anahtarları da dahil olmak üzere sunucu belleğini PHPSESSID çerezi üzerinden sızdırabiliyor; firma bunu 2014'teki Heartbleed hatasına benzetti. CVE-2026-109619 ise, bellek tükenmesi sırasında ölümcül bir hata oluştuğunda tetiklenen ayrı bir use-after-free açığı olup, PHP'nin OPcache bileşenindeki tür karışıklığıyla (type confusion) birleştiğinde, Sansec'in belirttiğine göre uzaktan kod yürütülmesine imkân tanıyor. Her iki hataya da, web sayfalarının dosya yüklemelerinde kullandığı format olan multipart/form-data istekleri üzerinden ulaşılabiliyor.

Birleşik Krallık'ın Ulusal Siber Güvenlik Merkezi (NCSC), 21 Ekim tarihli tavsiye yazısında riski, bir saldırganın giriş yapmasına gerek kalmadan "PHP çalıştıran herhangi bir web sunucusunda komut yürütmesine" izin verdiği şeklinde tanımladı ve sorunu kritik olarak derecelendirdi.

Devletler ve platformlar neden çevrimdışına çıktı?

PHP, internetin büyük bir bölümünün altyapısını oluşturduğundan, çeşitli kuruluşlar yamayı beklemek yerine kamuya açık sitelerini kapatmayı tercih etti. Techzine'in haberine göre MijnOverheid, DigiD ve parlamento sistemleri de dahil olmak üzere Hollanda hükümet hizmetleri geçici olarak çevrimdışına alındı; KSL tarafından yayınlanan haber ajansı metnine göre Hollanda ve Finlandiya'daki siber güvenlik kurumları önlem amacıyla devlet sitelerini kapattı. Techzine ayrıca, Birleşik Krallık'ın NCSC'si ile ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) yöneticileri etkilenen sistemleri yamalamaya veya devre dışı bırakmaya çağıran uyarılar yayınladığını, Wikipedia ve Meta'nın ise sitelerini kapatmak yerine değiştirilmiş PHP çalışma zamanları ve web uygulama güvenlik duvarı (WAF) kuralları uygulayarak çalışır durumda tuttuklarını bildirdi.

Sansec, PHP'nin çekirdek geliştiricilerinden Gina Peter Banyard'ın, yama gelmeden önce sunucuları çevrimdışına almanın, düzeltmeyi hemen uygulayamayan kuruluşlar için en mantıklı seçenek olduğunu belirttiğini bildirdi; birçok Hollandalı kurum bu tavsiyeye uydu.

Cloudflare, resmi yama yayınlanmadan önce istismar girişimleri görmeye başladığını açıkladı. KSL'nin haberine göre Cloudflare'in teknoloji müdürü, şirketin erken saldırıları izlediğini ve yeni saldırı yöntemleri ortaya çıktıkça önlemlerini sürekli güncellediğini söyleyerek, Cloudflare'in korumasını PHP'nin resmi düzeltmesi gelene kadar geçici bir önlem olarak tanımladı. Sansec ayrı olarak, Cloudflare'in 21 Ekim'de 07:43 UTC'de, yani PHP'nin planlanan düzeltmesinden yaklaşık altı saat önce başlayan saldırılar tespit ettiğini bildirdi.

• PHP üzerine inşa edilmiş içerik yönetim ve e-ticaret sistemleri olan WordPress, Drupal, Joomla ve Magento
• Sansec tarafından açığa karşı savunmasız olduğu doğrulanan belirli sürümler: Magento 2.4.9, WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11 ve Symfony 8.1
• NCSC tavsiyesine göre PHP içeren paylaşımlı barındırma platformları ve kontrol panelleri
• Techzine'e göre Hollanda devlet hizmetleri DigiD ve MijnOverheid

Etkilenme ölçeği: tahminler farklılık gösteriyor

Bilinenler ve bilinmeyenler

PHP ekibi, PHP 8.2, 8.3, 8.4 ve 8.5'in resmi düzeltmeler alacağını doğruladı; The Hacker News'e göre bunların sırasıyla 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri olması bekleniyor. Buna karşın kullanım ömrü dolmuş 8.1 ve öncesi dallar tedarikçi tarafından yamalanmayacak. Ancak Sansec, altta yatan hatalı kodun PHP 5.4.0'a kadar uzandığını belirtti; bu da birçok eski, desteklenmeyen kurulumun büyük olasılıkla resmi bir düzeltme olmaksızın savunmasız kalacağı anlamına geliyor. The Hacker News'e göre, 21 Ekim tarihli haberinin yayınlandığı sırada kamuya açık bir kavram kanıtı (proof-of-concept) istismarı bulunmuyordu ve açıklar o tarihte CISA'nın Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna henüz eklenmemişti — ancak Cloudflare'in sonraki açıklaması, saldırı girişimlerinin zaten başlamış olduğunu gösteriyordu.

Arka plan: açıklar nasıl bulundu?

Sansec'in zaman çizelgesi, ilk hatanın kökenini, OpenAI ile çalışan "Calif" rumuzlu bir araştırmacının 1 Ağustos 2026'da başlattığı ve 11 Ağustos'ta PHP güvenlik ekibine bildirdiği araştırmaya dayandırıyor. İkinci, ilişkili bir bildirim ise Sansec tarafından Sagi Tzadik, Shir Tamari, Nir Ohfeld ve Tomer Schwartz olarak adlandırılan Wiz Research ekibinden 24 Ağustos'ta geldi. Sansec, her iki araştırma ekibinin de, PHP sürümleri arasında istismarları bulma ve uyarlama çalışmasını hızlandırmada yapay zeka modellerine pay verdiğini, bir araştırmacının bildirildiğine göre yaklaşık bir hafta içinde çalışan bir istismara ulaştığını bildirdi. Koordineli, ambargolu açıklamanın ayrıntıları 20 Ekim'de kamuya sızdı ve bu durum PHP'yi duyurusunu öne çekmeye ve 21 Ekim yama sürümünü belirlemeye yöneltti.