PHP'de İki Kritik RCE Açığı: Acil Güvenlik Yaması Yolda

PHP, 21 Ekim günü saat 14:00 UTC'de olağandışı bir güvenlik güncellemesi yayımlamayı planladığını açıkladı. Güncelleme, PHP güvenlik ekibinin CVSS v4.0 ölçeğinde 9.2 puan verdiği ancak teknik ayrıntılarını henüz kamuoyuyla paylaşmadığı iki kritik açığa yönelik. watchTowr araştırmacıları, söz konusu iki açığın uzaktan kod çalıştırmaya (RCE) olanak tanıdığını belirtti. Güncelleme yalnızca desteklenen dört dal için geçerli: PHP 8.2, 8.3, 8.4 ve 8.5. Şu ana kadar aktif bir istismar vakası raporlanmadı.

Açıklar Nasıl Gün Yüzüne Çıktı?​

Gelişme, bir sızıntıyla başladı. 20 Ekim'de Hacker News'te yayımlanan bir gönderi, PHP 5'ten itibaren tüm sürümleri etkileyen ve CVSS 10.0 puanıyla değerlendirilen iki RCE açığının 22 Ekim Perşembe günü kamuoyuyla paylaşılacağını iddia etti. Gönderiyi paylaşan kişi, elinde "'güven bana' dışında hiçbir kanıt olmadığını" açıkça belirtti.
watchTowr bu sızıntıya X platformunda verdiği yanıtta bilgilerin gerçek olduğunu, açıkların hâlâ ambargo altında bulunduğunu ve herkesin Perşembe gününe kadar beklemesi gerektiğini duyurdu. PHP ise aynı gün saat 19:33 UTC'de resmi bir uyarı yayımlayarak güncellemenin Perşembe yerine bir gün önce, yani Çarşamba öğleden sonra yayımlanacağını bildirdi. Uyarıda, açıkların ayrıntılarının kamuoyuna sızması ya da aktif istismar kanıtı ortaya çıkması durumunda yayımın daha da öne alınabileceği de vurgulandı.

Sızıntı Ne Kadar Bilgi İçeriyordu?​

Sızdırılan gönderide açıkların varlığı, bir puan, olası bir açıklama tarihi ve iki CVE tanımlayıcısı yer alıyordu; ancak açıkların teknik olarak nasıl işlediğine dair hiçbir bilgi bulunmuyordu. Araştırmacıların kullandığı CVE-2026-109618 ve CVE-2026-109619 tanımlayıcıları da bu sızdırılan gönderiden geliyor; PHP'nin resmi duyurusunda bu tanımlayıcılara yer verilmedi. Sızıntıdaki CVSS 10.0 puanı da PHP'nin kendi değerlendirmesinden farklı: PHP, CVSS v4.0 ölçeğinde 9.2 puanı verdi.
PHP 5'ten itibaren tüm sürümlerin etkilendiği iddiası ise henüz doğrulanmış değil. watchTowr'ın bu açıklara ilişkin yayımladığı SSS belgesinde, bu kapsamın "resmi bir satıcı tavsiyesiyle doğrulanmadığı" ve saldırı için herhangi bir yapılandırma ya da özellik gereksinimine dair bilgi bulunmadığı belirtildi. Araştırmacılar açık çiftini "php2shell" olarak adlandırdı; bu isim PHP'nin değil, araştırmacıların kullandığı bir etiket.

Hangi Sürümler Güncelleme Alacak?​

PHP yalnızca aktif destek kapsamındaki dallar için yama yayımlıyor. PHP 8.4 ve 8.5 tam destek altında; PHP 8.3 ve 8.2 ise yalnızca güvenlik yamaları alıyor. Buna karşın 8.1, 8.0, 7.x ve 5.x gibi eski sürümler kullanım ömrünü tamamlamış durumda ve PHP'den herhangi bir yama almayacak.
Güvenlik şirketi Mallory, 20 Ekim itibarıyla Shodan arama motorunun verilerine dayanarak internete açık yaklaşık 884.000 sunucunun HTTP başlığında PHP 8.1 veya daha eski bir sürüm bildirdiğini tespit etti. Bu rakam, herhangi bir PHP sürümü bildiren yaklaşık 1,5 milyon sunucunun yüzde 59'una karşılık geliyor. Ayrıca 740.000 sunucu sürüm belirtmeksizin PHP kullandığını bildirdi. Bu sayıların banner bilgisine dayandığını, etkilenen sistemlerin kesin sayısını yansıtmadığını belirtmek gerekiyor.

Yama Gelene Kadar Ne Yapılmalı?​

PHP, şu an için herhangi bir geçici çözüm yayımlamadı. Huntress'in hızlı müdahale kılavuzundan ve CERT-EU'nun izolasyon tavsiyelerinden derlenen altı adımlık bir hazırlık süreci öne çıkıyor:

• cPanel ve Plesk gibi kontrol panellerinde, satıcı cihazlarında ve Windows yazılımlarında paketlenmiş PHP kurulumları dahil olmak üzere tüm PHP yüklemelerinin envanterini çıkarın.
• Saat 14:00 UTC'de güncellemeye hazır olun; önce internete açık sistemleri yamalayın ve Linux dağıtımınızın ya da barındırma sağlayıcınızın geri taşınmış paketlerini kontrol edin.
• Kullanım ömrü dolmuş bir dalda çalışıyorsanız sistemi yükseltin, internetten izole edin ya da yama yapılana kadar bir VPN veya web uygulaması güvenlik duvarının arkasına alın.
• CERT-EU, yama hemen uygulanamıyorsa internete açık uygulamaların genel ağlardan izole edilmesini tavsiye ediyor.
• PHP'nin başlattığı süreçleri izleyin; php-fpm, php-cgi, httpd veya apache2 süreçlerinin kabuk, yorumlayıcı ya da indirme aracı başlatması durumunda uyarı alacak şekilde yapılandırma yapın.
• Uç nokta tespiti olmayan Linux sunucularında Florian Roth'un process-watcher aracı, bir PHP sürecinin başlattığı her programı komut satırıyla birlikte kaydediyor; ancak bu araç yalnızca kayıt tutuyor, herhangi bir şeyi engellemiyor.

\n
Huntress, 20 Ekim itibarıyla iş ortağı ortamlarında bu açıkların istismarına rastlamadığını, kavram kanıtı oluşturmadığını ve kamuya açık bir exploit kodu bulunmadığını açıkladı. watchTowr da 21 Ekim itibarıyla istismar vakası bildirilmediğini ve açıkların CISA'nın Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda yer almadığını belirtti. Karşılaştırma açısından: Haziran 2024'te Windows'ta CGI modunda çalışan PHP'yi etkileyen CVE-2024-4577 açığı kamuoyuna duyurulduktan sonra Akamai, 24 saat içinde bal küpü sunucularına yönelik exploit girişimleri tespit etmişti.
PHP, güncellemeyle birlikte hangi sürümlerin etkilendiğini, PHP'nin hangi bileşeninin açık barındırdığını, saldırının belirli bir çalışma modu, yapılandırma veya oturum açma gerektirip gerektirmediğini ve açıkların tam teknik tanımını kamuoyuyla paylaşacak.

Sıkça Sorulan Sorular​

PHP2Shell açıkları neden bu kadar kritik değerlendiriliyor?​

watchTowr araştırmacıları, söz konusu iki açığın uzaktan kod çalıştırmaya (RCE) izin verdiğini belirtti. PHP güvenlik ekibi bu açıklara CVSS v4.0 ölçeğinde 9.2 puan verdi. Sızdırılan gönderide ise CVSS 10.0 puanından söz ediliyordu; ancak bu iki puan farklı değerlendirmeleri yansıtıyor.

Güvenlik güncellemesi hangi PHP sürümlerini kapsıyor?​

Güncelleme yalnızca PHP'nin desteklenen dört dalını kapsıyor: PHP 8.2, 8.3, 8.4 ve 8.5. PHP 8.1 ve önceki tüm sürümler (8.0, 7.x, 5.x) kullanım ömrünü tamamlamış olduğundan PHP'den herhangi bir yama almayacak.

PHP 5'ten itibaren tüm sürümlerin etkilendiği iddiası doğru mu?​

Bu iddia henüz doğrulanmış değil. watchTowr'ın yayımladığı SSS belgesine göre bu kapsam "resmi bir satıcı tavsiyesiyle doğrulanmadı" ve saldırı için gerekli olabilecek herhangi bir yapılandırma ya da özellik gereksinimi de açıklanmadı. PHP, tam ayrıntıları güncellemeyle birlikte paylaşacağını belirtti.

Şu an için aktif bir istismar vakası var mı?​

Hayır. Huntress, 20 Ekim itibarıyla iş ortağı ortamlarında bu açıkların istismarına rastlamadığını açıkladı. watchTowr da 21 Ekim itibarıyla istismar vakası bildirilmediğini ve açıkların CISA'nın Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda yer almadığını belirtti.

Eski PHP sürümü kullanan sistemler ne yapmalı?​

PHP'nin tavsiyesine göre desteklenmeyen eski bir dalda çalışan sistemler için üç seçenek bulunuyor: desteklenen bir sürüme yükseltmek, sistemi internetten izole etmek ya da yama yapılana kadar bir VPN veya web uygulaması güvenlik duvarının arkasına almak. CERT-EU da yama hemen uygulanamıyorsa internete açık uygulamaların genel ağlardan izole edilmesini tavsiye ediyor.