PHP Güvenlik Açığı CVE-2026-109618 / CVE-2026-109619 (PHP2Shell): Kritik RCE aktif istismar ediliyor

Özet

PHP projesi 21 Ekim 2026'da, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya (RCE) imkân verebilen iki kritik açığı kapatan PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayınladı. Araştırmacıların "PHP2Shell" adını verdiği açıklar bir eklentide değil, PHP'nin kendisinde bulunuyor.

• CVE-2026-109618 (GHSA-w8hw-w9fx-j79w): Bellek yetersizliği (OOM) sırasında bellek bozulması üzerinden RCE.
• CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp): Önceki istekten kalan "bayat" durum bilgisi üzerinden RCE (use-after-free).
• CVSS v4.0: 9,2, önem derecesi: Kritik (sosyal medyada dolaşan 10,0 puanı yanlış).
• Aktif istismar: Evet. Amazon ilk denemeyi 17 Ekim'de, açıklamadan dört gün önce gördü; yamanın ardından saatler içinde PoC'ler yayınlandı.
• Çözüm durumu: Yama yayınlandı.

Açık nedir?

CVE-2026-109618: Bir istek PHP'nin memory_limit sınırına yanlış anda ulaşırsa, PHP yarım kalmış iç verileri geride bırakıp sonradan geçerli sayabiliyor ve bellek bozuluyor. Saldırgan bunu özel hazırlanmış dosya yükleme (multipart) istekleriyle tetikleyebiliyor. PHP'ye göre Apache mod_php'de, uygulama kodu hiç çalışmadan, kimliği doğrulanmamış tek bir istekle ve varsayılan ayarlarla RCE gösterildi; PHP-FPM'de de uygulama üzerinden RCE doğrulandı.

CVE-2026-109619: Ölümcül bir hatadan sonra, bir isteğe ait iç durum bilgisi serbest bırakılmış belleği göstermeye devam edebiliyor. Aynı çalışan süreç (worker) tarafından işlenen sonraki istek bu belleği kullanabiliyor. Gerçek bir uygulamaya karşı RCE gösterildi.

Kimler etkileniyor?

PHP'ye göre web isteği karşılayan tüm PHP kurulumları risk altında: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed. En yüksek risk mod_php'de. Pratikte bu; WordPress, Joomla, Drupal gibi PHP ile çalışan siteler, PHP tabanlı e-ticaret altyapıları, paylaşımlı hosting (cPanel, Plesk) ve VPS'ler demek.

Etkilenen ve düzeltilmiş sürümler

PHP güvenlik ekibi, kaynak koddan derleyenler için 7.4, 8.0 ve 8.1'e asgari yamalar da yayınladı. Linux dağıtımları yamaları önceden aldı; dağıtımınızın güncel paketlerini kontrol edin. Gönüllülerin yürüttüğü rpms.remirepo.net deposu 21 Ekim'de güncellenmedi; PHP bu depoyu kullananlara dağıtım paketlerine geçmeyi veya kaynaktan derlemeyi öneriyor. PHP 8.2'nin desteği 31 Aralık 2026'da bitiyor.

cPanel ve Plesk kullananlar

• cPanel (EasyApache 4): Yamalı paketler ea-php82 8.2.35, ea-php83 8.3.36, ea-php84 8.4.27, ea-php85 8.5.12; destek dışı sürümler için ea-php74 7.4.33-19, ea-php80 8.0.30-12, ea-php81 8.1.34-5. cPanel & WHM için 11.110.0.153, 11.134.0.66, 11.136.0.50 ve 11.138.0.18 sürümleri yayınlandı. Güncellemeden sonra PHP-FPM ve Apache'yi yeniden başlatın.
• Plesk Obsidian: Linux ve Windows için PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 yayınlandı. Linux'ta 7.4.33, 8.0.30 ve 8.1.34 için sürüm numarası aynı; 21 Ekim 2026 tarihli derlemeler yamalı. Plesk panelinin kendi PHP motoru (sw-engine / plesk-engine) da etkileniyor: Plesk Obsidian 18.0.80 Update 11 veya 18.0.81 Update 4'e güncelleyin.
• Paylaşımlı hosting: Yamayı hosting firmanız uygulamalı. Hangi PHP sürümünün kullanıldığını ve yeniden başlatmanın yapıldığını firmanızdan teyit edin.

İstismar durumu

Amazon Threat Intelligence, açıklamadan dört gün önce, 17 Ekim 2026'da bir istismar denemesi tespit etti. 21 Ekim'de birden fazla PoC ortaya çıktı ve farklı aktörlerden denemeler görüldü; Amazon'a göre PHP2Shell artık geniş çapta istismar ediliyor. CERT-EU de PoC'lerin dolaştığını ve istismar olasılığının yükseldiğini belirtiyor.

Türkiye: TR-26-1372

T.C. Siber Güvenlik Başkanlığı (eski USOM) 21 Ekim 2026'da TR-26-1372 numaralı bildirimi yayınladı. Bildirim şunları öneriyor:

• Etkilenen sistemlerin belirlenip gecikmeden güvenli sürümlere yükseltilmesi,
• Yönetim arayüzlerine ve kritik PHP servislerine dış erişimin güvenlik duvarı/ACL ile yalnızca yetkili IP adreslerine sınırlandırılması,
• Yurt dışı erişim ihtiyacı olmayan sistemlerin ivedilikle uluslararası trafiğe kapatılması.

Hemen güncelleyemiyorsanız

PHP'ye göre tek tam çözüm güncellemedir. Aşağıdaki önlemler yalnızca belirli saldırı yollarını daraltır, sistemi güvenli hâle getirmez:

CVE-2026-109618 için

• memory_limit=-1 ayarını uygulamaların değiştiremeyeceği biçimde verin (örneğin FPM havuzunda veya Apache'de php_admin_value).
• post_max_size değerini düşürün: dosya yükleme yoksa 8M, gerekiyorsa 32M; upload_max_filesize bunun altında kalsın.
• Web sunucusu/proxy seviyesinde istek boyutu, alan sayısı, multipart parça ve başlık sayısı için sınır koyun (Content-Length içermeyen istekler dahil).

CVE-2026-109619 için

• session.upload_progress.enabled=0 ayarını php.ini, FPM havuzu veya sunucu yapılandırmasında verin ve tüm worker'ları yeniden başlatın (ini_set() veya .user.ini işe yaramaz).
• PHP 8.5'te fatal_error_backtraces=0.

Kayıtları 17 Ekim'den itibaren inceleyin

İstismar açıklamadan önce başladığı için Amazon, incelemelerin en az 17 Ekim 2026'dan itibaren yapılmasını öneriyor. İnternete açık PHP sunucularında web sunucusu ve PHP-FPM kayıtlarını; beklenmeyen PHP süreç çökmeleri, olağandışı büyük multipart/POST istekleri, yeni veya değiştirilmiş dosyalar (web shell) ve yeni yönetici hesapları açısından gözden geçirin.

Kaynaklar

• PHP güvenlik duyurusu (21 Ekim 2026)
• GHSA-w8hw-w9fx-j79w – CVE-2026-109618
• GHSA-6wmf-4rv5-p3rp – CVE-2026-109619
• The PHP Foundation açıklaması
• Amazon Threat Intelligence
• cPanel bilgi notu
• Plesk bilgi notu
• CERT-EU Security Advisory 2026-018
• T.C. Siber Güvenlik Başkanlığı, TR-26-1372 (siberguvenlik.gov.tr)

Doğa Network nasıl yardımcı olabilir?

Web sitenizin, hosting hesabınızın veya VPS'inizin hangi PHP sürümünü kullandığını kontrol ediyor, yamalı sürüme güncelliyor, cPanel/Plesk sunucularınızı güncelleyip kayıtlarınızı 17 Ekim'den itibaren inceliyoruz. Destek dışı PHP sürümlerinde kalan uygulamalarınız için geçiş planı hazırlıyoruz.

📞 0850 888 3642 · ✉️ hi@doga.network