PHP2Shell gerçek saldırılarda kullanıldı: kritik RCE açıkları ve yamasız açık

PHP güvenlik ekibi, CVE-2026-109618 ve CVE-2026-109619 olarak izlenen iki kritik RCE açığını PHP2Shell adıyla yamaladı. Perplexity'deki honeypot kayıtları, Apache mod_php üzerinde PHP 8.4.26 çalışan bir kuruluma yönelik gerçek uzaktan kod çalıştırmayı doğruladı. Bulguları Expel tehdit araştırmacısı Marcus Hutchins de teyit etti.

Gerçek istismar kanıtı

Doğrulanan faaliyet yalnızca bir çökme ve şüpheli işlem değildi. Yanıt 800 KiB çözülmüş cookie verisi döndürdü; bellek dökümünden türetilen fonksiyon adresi, sonraki yürütme yükünde göründü. İstemci tam yanıtı kabul etti ve kabuk komutu, yürütme isteğinin son yakalanan baytından yaklaşık 1.6 ms sonra çalıştı. Bu kanıtlar saldırganın uzaktan kod çalıştırma ve kullanılabilir bellek sızıntısı elde edebildiğini gösteriyor.

Yamalar öncesi faaliyet

Amazon Threat Intelligence, saldırganların PHP2Shell açıklarını güvenlik yamaları yayımlanmadan 4 gün önce hedeflediğini tespit etti. Cloudflare, Hadrian, watchTowr, Previdian ve Patchstack de kamuya açıklanmadan önce saldırı girişimleri saptadı; ancak bunları başarısız olarak değerlendirdi. Önceki faaliyet tarama, parmak izi çıkarma ve işlevsiz exploitlerin kullanımıyla sınırlıydı.

21 Ekim'de yamalar

PHP güvenlik ekibi açıkları 21 Ekim'de yamaladı. Bir gün önce yöneticilerden, güncellemeler yayımlanır yayımlanmaz kurulmaları için hazırlık istemişti. Yama öncesinde sızan ayrıntılar ve yayımlanan bazı PoC exploitler işlevsel değildi. Karimi'nin doğrulamasından önceki faaliyette bilinen bir ihlal bulunmuyordu; başarılı exploit zinciri Perplexity'nin honeypot kayıtlarıyla ortaya çıktı.

Yeni ve yamasız RCE

PHP güvenlik ekibi ayrıca CVE-2026-115560 için geçici önlem paylaştı. Bu açığın yaması yok ve yalnızca olağandışı bir yapılandırma ile uygulama kodu birleşimine sahip sistemlerde istismar edilebiliyor. PHP yöneticileri, yama yayımlanana kadar session.upload_progress.enabled=0 ayarını kullanarak olası saldırıları engelleyebilir.

Yöneticiler için yapılacaklar

PHP2Shell için 21 Ekim'de yayımlanan güvenlik yamalarını gecikmeden kurun. Apache mod_php çalıştıran PHP 8.4.26 kurulumlarını kontrol edin. Yamasız CVE-2026-115560 için önerilen session.upload_progress.enabled=0 ayarını yama çıkana kadar uygulayın.

PHP, internetteki sitelerin yaklaşık %70'inde kullanılıyor. VirusTotal'ın son tahminlerine göre 5.1 milyon PHP sunucusu çevrimiçi olarak görünürken, bunların yaklaşık 3.8 milyonunda saldırılara açık en az bir port bulunuyor. Bu geniş erişim yüzeyi, PHP2Shell yamalarının hızla uygulanmasını ve yamasız açık için geçici önlemin etkin tutulmasını önemli kılıyor.