PHP Güvenlik Açığı CVE-2026-109618 / CVE-2026-109619 (PHP2Shell): Kritik RCE'ye yönelik saldırılar sürüyor

Güncelleme – 25 Ekim 2026: Bültenin ilk halinde (22 Ekim) saldırıların "geniş çapta" olduğu yazıyordu. Sonraki bilgiler durumu netleştirdi: yaygın istismar denemeleri sürüyor, Palo Alto Unit 42 bir Avrupa devlet kurumunda doğrulanmış bir sızma bildirdi, ancak kitlesel başarılı istismar doğrulanmadı. Ayrıca PHP, 21 Ekim yamalarıyla kapanmayan yeni bir CVE (CVE-2026-115560) duyurdu. Metin buna göre güncellendi.

Özet

PHP projesi 21 Ekim 2026'da, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya (RCE) imkân verebilen iki kritik açığı kapatan PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayınladı. Araştırmacıların "PHP2Shell" adını verdiği açıklar bir eklentide değil, PHP'nin kendisinde bulunuyor.

• CVE-2026-109618 (GHSA-w8hw-w9fx-j79w): Bellek yetersizliği (OOM) sırasında bellek bozulması üzerinden RCE.
• CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp): Önceki istekten kalan "bayat" durum bilgisi üzerinden RCE (use-after-free).
• CVSS v4.0: 9,2 (ilk iki CVE için), önem derecesi: Kritik (sosyal medyada dolaşan 10,0 puanı yanlış).
• CVE-2026-115560 (yeni, 23 Ekim): 21 Ekim yamalarıyla kapanmayan, ayrı bir RCE açığı. Henüz yama yok; yalnızca olağandışı bir yapılandırma kombinasyonunda tetikleniyor (aşağıya bakın). CVSS puanı henüz yayınlanmadı.
• İstismar: Denemeler 17 Ekim'den beri sürüyor ve Palo Alto Unit 42 bir Avrupa devlet kurumunda doğrulanmış bir sızma bildirdi. Kitlesel başarılı istismar doğrulanmadı: CISA başarılı istismar gözlemlemediğini söylüyor, iki CVE de 25 Ekim itibarıyla CISA KEV listesinde değil.
• Çözüm durumu: CVE-2026-109618 ve CVE-2026-109619 için yama yayınlandı; CVE-2026-115560 için henüz yok.

Açık nedir?

CVE-2026-109618: Bir istek PHP'nin memory_limit sınırına yanlış anda ulaşırsa, PHP yarım kalmış iç verileri geride bırakıp sonradan geçerli sayabiliyor ve bellek bozuluyor. Saldırgan bunu özel hazırlanmış dosya yükleme (multipart) istekleriyle tetikleyebiliyor. PHP'ye göre Apache mod_php'de, uygulama kodu hiç çalışmadan, kimliği doğrulanmamış tek bir istekle ve varsayılan ayarlarla RCE gösterildi; PHP-FPM'de de uygulama üzerinden RCE doğrulandı.

CVE-2026-109619: Ölümcül bir hatadan sonra, bir isteğe ait iç durum bilgisi serbest bırakılmış belleği göstermeye devam edebiliyor. Aynı çalışan süreç (worker) tarafından işlenen sonraki istek bu belleği kullanabiliyor. Gerçek bir uygulamaya karşı RCE gösterildi.

Kimler etkileniyor?

PHP'ye göre web isteği karşılayan tüm PHP kurulumları risk altında: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed. En yüksek risk mod_php'de. Pratikte bu; WordPress, Joomla, Drupal gibi PHP ile çalışan siteler, PHP tabanlı e-ticaret altyapıları, paylaşımlı hosting (cPanel, Plesk) ve VPS'ler demek.

Etkilenen ve düzeltilmiş sürümler

PHP güvenlik ekibi, kaynak koddan derleyenler için 7.4, 8.0 ve 8.1'e asgari yamalar da yayınladı. Linux dağıtımları yamaları önceden aldı; dağıtımınızın güncel paketlerini kontrol edin. Gönüllülerin yürüttüğü rpms.remirepo.net deposu 21 Ekim'de güncellenmedi; PHP bu depoyu kullananlara dağıtım paketlerine geçmeyi veya kaynaktan derlemeyi öneriyor. PHP 8.2'nin desteği 31 Aralık 2026'da bitiyor.

cPanel ve Plesk kullananlar

• cPanel (EasyApache 4): Yamalı paketler ea-php82 8.2.35, ea-php83 8.3.36, ea-php84 8.4.27, ea-php85 8.5.12; destek dışı sürümler için ea-php74 7.4.33-19, ea-php80 8.0.30-12, ea-php81 8.1.34-5. cPanel & WHM için 11.110.0.153, 11.134.0.66, 11.136.0.50 ve 11.138.0.18 sürümleri yayınlandı. Güncellemeden sonra PHP-FPM ve Apache'yi yeniden başlatın.
• Plesk Obsidian: Linux ve Windows için PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 yayınlandı. Linux'ta 7.4.33, 8.0.30 ve 8.1.34 için sürüm numarası aynı; 21 Ekim 2026 tarihli derlemeler yamalı. Plesk panelinin kendi PHP motoru (sw-engine / plesk-engine) da etkileniyor: Plesk Obsidian 18.0.80 Update 11 veya 18.0.81 Update 4'e güncelleyin.
• Paylaşımlı hosting: Yamayı hosting firmanız uygulamalı. Hangi PHP sürümünün kullanıldığını ve yeniden başlatmanın yapıldığını firmanızdan teyit edin.

İstismar durumu

• 17 Ekim 2026: Amazon Threat Intelligence, açıklamadan dört gün önce bir istismar denemesi tespit etti. 21 Ekim'de birden fazla PoC ortaya çıktı ve farklı aktörlerden yaygın denemeler görüldü.
• Doğrulanmış sızma: Palo Alto Unit 42, bir Avrupa devlet kurumuna yönelik saldırıyı bildirdi: ilk istismardan iki saat içinde parola özetlerine ve MFA gizli anahtarlarına erişilmiş, Active Directory'ye NTLM-relay tüneli kurulmuş ve Domain Admin yükselmesi denenmiş. Unit 42, komut kalıplarına bakarak saldırganın yapay zekâ destekli (agentic) bir araç kullandığını değerlendiriyor.
• Kitlesel başarılı istismar doğrulanmadı: CISA, 23 Ekim'de güncellenen uyarısında başarılı istismar gözlemlemediğini belirtiyor. Sophos, 22 Ekim'de bildirdiği başarılı istismarı beş saat sonra geri çekti; yalnızca tarama ve başarısız denemeler gördüğünü, başarılı bir exploit geliştirmenin kolay olmadığını açıkladı. CVE-2026-109618 ve CVE-2026-109619, 25 Ekim itibarıyla CISA KEV listesinde yok.
• Kamuya açık exploit'ler: İkincil bir kaynağa göre (Rapid7 ve Sansec'in değerlendirmeleri aktarılıyor) bunlar yalnızca dar koşullarda çalışıyor, varsayılan kurulumlara karşı değil. Bu bilgiyi birincil kaynaktan doğrulayamadık.
• Sonuç: Başarılı saldırı sayısı şimdilik sınırlı olsa da saldırganlar denemeyi sürdürüyor ve en az bir gerçek sızma yaşandı. Yamayı ertelemeyin.

Türkiye: TR-26-1372

T.C. Siber Güvenlik Başkanlığı (eski USOM) 21 Ekim 2026'da TR-26-1372 numaralı bildirimi yayınladı. Bildirim şunları öneriyor:

• Etkilenen sistemlerin belirlenip gecikmeden güvenli sürümlere yükseltilmesi,
• Yönetim arayüzlerine ve kritik PHP servislerine dış erişimin güvenlik duvarı/ACL ile yalnızca yetkili IP adreslerine sınırlandırılması,
• Yurt dışı erişim ihtiyacı olmayan sistemlerin ivedilikle uluslararası trafiğe kapatılması.

Yeni: CVE-2026-115560 (23 Ekim)

PHP güvenlik ekibi 23 Ekim 2026'da bir bilgilendirme duyurusu yayınladı: CVE-2026-115560, oturum yükleme ilerlemesiyle (session upload progress) ilgili ayrı bir uzaktan kod çalıştırma açığı. 21 Ekim yamalarıyla kapanmıyor, henüz yama yok; PHP düzeltmeyi bir sonraki düzenli sürümde yayınlayacağını ve tam duyuruyu o zaman yapacağını söylüyor.

PHP'ye göre açık yalnızca olağandışı bir kombinasyonda tetiklenebiliyor. Üçünün birden doğru olması gerekiyor:

• session.serialize_handler yapılandırmada php_binary veya php_serialize olarak ayarlı,
• uygulama bunu session_start() öncesinde ini_set() ile çalışma anında php'ye çeviriyor,
• oturum yükleme ilerlemesi (session.upload_progress.enabled) hâlâ açık.

Serileştirme işleyicisini çalışma anında değiştirmeyen uygulamalar bu yoldan etkilenmiyor. Önlem: session.upload_progress.enabled=0 ayarını php.ini, FPM havuzu veya sunucu yapılandırmasında verip tüm süreçleri yeniden başlatın (ini_set() veya .user.ini işe yaramaz). Bu önlemi 21 Ekim'de CVE-2026-109619 için uyguladıysanız ek bir işlem gerekmiyor. Bu ayar 21 Ekim güncellemelerinin yerine geçmez; ikisini birlikte uygulayın.

Hemen yamalayamayan veya PHP 8.1 ve öncesini kullananlar

CISA'nın önerisi: hemen güncelleyemeyen ya da PHP 8.1 ve öncesi desteksiz sürümleri kullanmaya devam eden kurumlar, PHP tabanlı sistemleri yamalanana veya güncellenene kadar çevrim dışı almalı. Güvenlik duvarı (WAF) güncelleme yapılana kadar bir miktar koruma sağlayabilir. Ayrıca PHP süreçlerinin (worker) kabuk (shell) başlatması veya araç indirmesi gibi şüpheli etkinlikler izlenmeli.

Hemen güncelleyemiyorsanız

PHP'ye göre tek tam çözüm güncellemedir. Aşağıdaki önlemler yalnızca belirli saldırı yollarını daraltır, sistemi güvenli hâle getirmez:

CVE-2026-109618 için

• memory_limit=-1 ayarını uygulamaların değiştiremeyeceği biçimde verin (örneğin FPM havuzunda veya Apache'de php_admin_value).
• post_max_size değerini düşürün: dosya yükleme yoksa 8M, gerekiyorsa 32M; upload_max_filesize bunun altında kalsın.
• Web sunucusu/proxy seviyesinde istek boyutu, alan sayısı, multipart parça ve başlık sayısı için sınır koyun (Content-Length içermeyen istekler dahil).

CVE-2026-109619 için

• session.upload_progress.enabled=0 ayarını php.ini, FPM havuzu veya sunucu yapılandırmasında verin ve tüm worker'ları yeniden başlatın (ini_set() veya .user.ini işe yaramaz).
• PHP 8.5'te fatal_error_backtraces=0.

Kayıtları 17 Ekim'den itibaren inceleyin

İstismar açıklamadan önce başladığı için Amazon, incelemelerin en az 17 Ekim 2026'dan itibaren yapılmasını öneriyor. İnternete açık PHP sunucularında web sunucusu ve PHP-FPM kayıtlarını; beklenmeyen PHP süreç çökmeleri, olağandışı büyük multipart/POST istekleri, yeni veya değiştirilmiş dosyalar (web shell) ve yeni yönetici hesapları açısından gözden geçirin.

CISA'nın izleme önerisi: PHP worker süreçlerinin kabuk başlatması ya da dışarıdan araç indirmesi gibi şüpheli etkinlikleri izleyin. İnternete açık PHP sunucularında ayrıca beklenmeyen süreç çökmelerine, olağandışı büyük multipart/POST isteklerine, yeni veya değiştirilmiş dosyalara (web shell) ve yeni yönetici hesaplarına bakın.

Kaynaklar

• PHP güvenlik duyurusu (21 Ekim 2026)
• GHSA-w8hw-w9fx-j79w – CVE-2026-109618
• GHSA-6wmf-4rv5-p3rp – CVE-2026-109619
• Palo Alto Unit 42 – PHP2Shell tehdit özeti
• CISA uyarısı – PHP kritik açıkları (23 Ekim güncellemesi)
• PHP bilgilendirme duyurusu – CVE-2026-115560 (23 Ekim)
• Sophos – PoC ve istismar güncellemesi
• The PHP Foundation açıklaması
• Amazon Threat Intelligence
• cPanel bilgi notu
• Plesk bilgi notu
• CERT-EU Security Advisory 2026-018
• T.C. Siber Güvenlik Başkanlığı, TR-26-1372 (siberguvenlik.gov.tr)

Doğa Network nasıl yardımcı olabilir?

Web sitenizin, hosting hesabınızın veya VPS'inizin hangi PHP sürümünü kullandığını kontrol ediyor, yamalı sürüme güncelliyor, cPanel/Plesk sunucularınızı güncelleyip kayıtlarınızı 17 Ekim'den itibaren inceliyoruz. Destek dışı PHP sürümlerinde kalan uygulamalarınız için geçiş planı hazırlıyoruz.

📞 0850 888 3642 · ✉️ hi@doga.network