CISA, Uzaktan Kod Çalıştırmaya Olanak Tanıyan İki PHP2Shell Açığının Aktif Olarak İstismar Edildiğini Doğruladı

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), PHP2Shell olarak adlandırılan iki kritik güvenlik açığının aktif biçimde istismar edildiğini resmi olarak teyit etti. Ajans, her ikisi de CVSS puanlama sisteminde 9.2 olarak derecelendirilen bu açıkları Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekleyerek federal kurumları uyardı.

İki Kritik Açık: CVE-2026-109618 ve CVE-2026-109619​

Söz konusu açıkların ilki olan CVE-2026-109618, etkilenen sistemlerde kimlik doğrulaması gerektirmeksizin uzaktan kod çalıştırılmasına imkân tanıyan bir bellek bozulması (out-of-memory corruption) güvenlik açığıdır. İkincisi olan CVE-2026-109619 ise eski iç istek durumu (stale internal request-state) kaynaklı bir zafiyettir ve yine kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına yol açabilmektedir.
Bu açıkların KEV kataloğuna eklenmesi, Perplexity bünyesinde tespit ve müdahale liderliği görevini yürüten Adel Karimi'nin 24 Ekim 2026 tarihinde honeypot sistemleri üzerinde uzaktan kod çalıştırmanın başarıyla gerçekleştirildiğini doğrulamasının ardından geldi.

Honeypot Testlerinden Elde Edilen Bulgular​

Karimi, gerçekleştirdiği testlere ilişkin şu değerlendirmeyi paylaştı: "Bu artık yalnızca bir çökmeden sonra şüpheli süreç değil, kullanılabilir bellek ifşasıyla birlikte doğrulanmış bir uzaktan kod çalıştırma vakasıdır. Yanıt, 800 KiB boyutunda çözümlenmiş bir çerez dökümü iletti ve bu dökümdeki genel açığın ofsetleri kullanılarak türetilen bir fonksiyon adresi, sonraki çalıştırma yükünde yer aldı."
Karimi ayrıca bulguların sınırlılığına da dikkat çekti: "Kanıtlar bu zinciri kasıtlı olarak elverişli hâle getirilmiş tek işçili mod_php profilinde ortaya koymaktadır; bu, diğer işçi sayıları, PHP derlemeleri veya uygulamalar üzerindeki açık güvenilirliğinin bir ölçümü değildir."

Yamalar ve Federal Kurumlar İçin Son Tarih​

Her iki açık da 21 Ekim 2026'da yayımlanan PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde giderildi. Federal kurumların gerekli güncellemeleri uygulaması için belirlenen son tarih 29 Ekim 2026 olarak açıklandı.
Açıkların ciddiyeti, dünya genelinde pek çok yazılım ve güvenlik firmasının yanı sıra devlet kurumlarının da uyarı yayımlamasına yol açtı. Aralarında ABB, Arista Networks, Broadcom, Canon, Citrix, Dell, F5, Hikvision, HP, HPE, Huawei, IBM, Ivanti, Mitel, NETGEAR, Okta, QNAP, Rockwell Automation, Salesforce, Schneider Electric, Siemens, SonicWall, Splunk, Synology, Veeam ve WordPress'in de bulunduğu çok sayıda kuruluş bu uyarılar arasında yer aldı.

Etki Alanının Genişliği: 32 Milyonun Üzerinde Servis​

PHP: Hypertext Preprocessor'ın kısaltması olan PHP, internet üzerindeki tüm web sitelerinin yaklaşık yüzde 70'inde kullanılan sunucu taraflı bir betik dilidir. Censys tarafından paylaşılan tahminlere göre, etkilenen bir PHP sürümü çalıştıran 32,51 milyondan fazla PHP servisi hâlâ aktif durumdadır.

Brotli Kütüphanesindeki Ek Açık: CVE-2026-111497​

26 Ekim 2026 itibarıyla PHP Vakfı, CVE-2026-111497 olarak tanımlanan ve Brotli kod çözücü kütüphanesindeki sınır dışı yazma (out-of-bounds write) güvenlik açığını gidermek amacıyla 8.5.12-1, 8.4.27-1, 8.3.36-1 ve 8.2.35-1 numaralı Windows derlemelerini yayımladı. Broccoli2Shell, HTTP2Shell ve Node2Shell olarak da bilinen bu açık, ayrıcalık yükseltme ve kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma sonuçlarına yol açabilmektedir.
Açık, Brotli'nin 1.0.3 ile 1.0.9 arasındaki sürümleri ile 1.1.0 ve 1.2.0 sürümlerini etkilemektedir. 1.0.10, 1.1.1 ve 1.2.1 sürümlerinde yamalar sunuldu; ayrıca C kütüphanesi dahil Node.js, Bun, Envoy Proxy, Istio, .NET ve Python gibi projeler de güncellendi.
PHP Vakfı konuya ilişkin şu açıklamayı yaptı: "PHP Windows derlemelerinde, savunmasız kod çözücüye otomatik HTTP yanıt sıkıştırması etkinleştirildiğinde cURL uzantısı aracılığıyla ulaşılabilmektedir. Bu özellik cURL'de varsayılan olarak devre dışıdır; ancak uygulamalar ve HTTP istemci kütüphaneleri tarafından etkinleştirilebilmektedir."

Sıkça Sorulan Sorular​

PHP2Shell açıkları neden bu kadar kritik kabul ediliyor?​

CVE-2026-109618 ve CVE-2026-109619 olarak tanımlanan her iki açık da CVSS puanlama sisteminde 9.2 dereceyle değerlendirildi. Bu açıklar, saldırganların herhangi bir kimlik doğrulaması gerektirmeksizin etkilenen sistemlerde uzaktan kod çalıştırmasına olanak tanımaktadır. PHP'nin internet üzerindeki tüm web sitelerinin yaklaşık yüzde 70'inde kullanılması, potansiyel etki alanını son derece geniş kılmaktadır.

Adel Karimi'nin honeypot testlerinde ne bulundu?​

Perplexity'de tespit ve müdahale liderliği görevini yürüten Adel Karimi, 24 Ekim 2026 tarihinde honeypot sistemleri üzerinde uzaktan kod çalıştırmanın başarıyla gerçekleştirildiğini doğruladı. Testlerde 800 KiB boyutunda çözümlenmiş bir çerez dökümü elde edildi ve bu dökümdeki fonksiyon adresi, sonraki çalıştırma yükünde kullanıldı. Karimi, bu bulguların tek işçili mod_php profiline özgü olduğunu ve diğer yapılandırmalar için geçerliliğinin sınırlı olabileceğini vurguladı.

PHP2Shell açıkları hangi sürümlerde yamalandı?​

Her iki güvenlik açığı da 21 Ekim 2026'da yayımlanan PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleriyle giderildi. Federal kurumların bu yamaları uygulaması için belirlenen son tarih 29 Ekim 2026 olarak açıklandı.

Hâlâ kaç PHP servisi açık sürüm çalıştırmaktadır?​

Censys tarafından paylaşılan tahminlere göre, etkilenen bir PHP sürümü çalıştıran 32,51 milyondan fazla PHP servisi aktif durumdadır.

CVE-2026-111497 (Broccoli2Shell) açığı nedir ve hangi sistemleri etkiler?​

CVE-2026-111497, Brotli kod çözücü kütüphanesindeki sınır dışı yazma güvenlik açığıdır. Broccoli2Shell, HTTP2Shell ve Node2Shell olarak da bilinen bu açık; Brotli'nin 1.0.3-1.0.9, 1.1.0 ve 1.2.0 sürümlerini etkilemektedir. PHP Windows derlemelerinde otomatik HTTP yanıt sıkıştırması etkinleştirildiğinde cURL uzantısı üzerinden bu açığa ulaşılabilmektedir. Ayrıca Node.js, Bun, Envoy Proxy, Istio, .NET ve Python gibi projeler de etkilenmektedir. Yamalar 1.0.10, 1.1.1 ve 1.2.1 sürümlerinde sunuldu; PHP Vakfı ise 26 Ekim 2026'da Windows derlemelerini yayımladı.