PHP2Shell Açıkları Kamuoyuna Duyurulmadan 4 Gün Önce İstismar Girişimi Tespit Edildi

Amazon'un tehdit istihbarat ekibi, PHP çekirdeğini etkileyen ve PHP2Shell olarak adlandırılan iki kritik güvenlik açığına yönelik ilk istismar girişimini 17 Ekim 2026'da kayıt altına aldığını açıkladı. Bu tarih, açıkların koordineli bir şekilde kamuoyuyla paylaşılmasından tam dört gün öncesine denk geliyor. Söz konusu girişim, şirketin MadPot bal küpü (honeypot) hizmetine karşı gerçekleştirildi.
Amazon Entegre Güvenlik CISO'su CJ Moses, The Hacker News ile paylaşılan bir yazıda şunları söyledi: "İstismar girişimi, ticari bir anonimleştirme ağıyla ilişkilendirilen bir IP adresinden kaynaklandı. Açık henüz ambargo altındayken anonimleştirilmiş bir IP üzerinden bal küpünün hedef alınması, bu faaliyetin bir tehdit aktörü tarafından yürütüldüğüne işaret ediyor; ancak aktörün açıklama öncesinde istismar bilgisine nasıl ulaştığı henüz netlik kazanmadı." Amazon, girişimin Avustralya'ya coğrafi olarak konumlandırılan 103.216.220[.]92 numaralı IP adresinden geldiğini belirtti ve bir şirket sözcüsü bu faaliyetin büyük ölçüde tek seferlik bir yoklama niteliği taşıdığını ifade etti.

Açıkların Teknik Boyutu ve Etki Alanı​

CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen iki güvenlik açığı, CVSS puanlama sisteminde 9,2 ile derecelendirildi. Açıklar; Calif, OpenAI ve Google bünyesindeki Wiz'den araştırmacılar tarafından keşfedildi. PHP'nin 7.x ve 8.x serilerinin tamamını etkileyen bu zafiyetler, kimlik doğrulaması gerektirmeden uzaktan kod yürütülmesine olanak tanıyor. Statik formlar, giriş rotaları ve sağlık kontrolleri dahil olmak üzere etkilenen bir sunucudaki her erişilebilir PHP uç noktası risk altında.
CrowdStrike'ın analizine göre bu açıkları kullanan bir saldırı neredeyse hiçbir dijital iz bırakmıyor. Şirket konuya ilişkin şu değerlendirmeyi yaptı: "Atlatılacak bir kimlik doğrulama mekanizması, çalınacak bir oturum ya da keşfedilecek savunmasız bir uç nokta yok. Açığa çıkma durumu, kullanılan CMS, çerçeve veya eklentilerden bağımsız." CrowdStrike ayrıca çalışan işlemlerin kararlı kalmaya devam ettiğini, yanıtların HTTP 200 döndürdüğünü ve uygulama günlüklerinin herhangi bir anomali kaydetmediğini vurguladı; zira uygulama kodu hiç çalışmıyor. Sunucu tarafında kalan tek iz, web sunucusunun hata günlüğünde yer alan ve rutin olarak görmezden gelinen tek bir bellek sınırı hatasından ibaret.
PHP Foundation, açıkların PHP'nin neredeyse her isteğin dokunduğu bölümlerinde, yani bellek yönetimi ve hata işlemede bulunduğunu belirterek şunları aktardı: "Bu merkezi konum, her iki açığı da ciddi kılan şeydi; aynı zamanda üçüncü taraf uzantıların geniş ekosistemini kırmadan, performansı olumsuz etkilemeden ya da değişiklik zorlamadan düzeltmeyi bu kadar güçleştiren de buydu."

Ambargoyu Kıran Gelişme ve Açıklamanın Öne Alınması​

Başlangıçta 22 Ekim 2026 saat 14:00 UTC için planlanan koordineli açıklama, CVE tanımlayıcıları ve kavram kanıtı (PoC) istismarının önceden sızması nedeniyle PHP Foundation tarafından bir gün erken gerçekleştirildi. Bu süreçte Chainguard'ın düzeltmeyi içeren derlenmiş görüntüleri önceden yayımlaması ambargoyu fiilen kırdı. PHP Foundation bu gelişmeyi şöyle değerlendirdi: "Chainguard, kullanıcılarının açıklamalar yapılır yapılmaz güncelleme yapabilmesi için yamayı önceden almıştı. Artık her saldırgan, diğer tüm PHP kullanıcıları hâlâ sürümü beklerken düzeltmeyi ikili biçimde inceleyebilirdi. Bu durum, koordineli açıklama için harcanan haftalarca süren çalışmayı görmezden geldi."
ELLIO'nun verilerine göre PHP2Shell'i hedef alan ilk istek, kendi sensörlerinde 21 Ekim 2026 saat 08:36 UTC'de, yani Chainguard'ın ambargoyu kırmasından bir saatten kısa süre sonra gözlemlendi. Amazon ise yamalar yayımlandığı gün birden fazla PoC istismarı tespit ettiğini ve en erken girişimin 21 Ekim 2026 saat 02:00 UTC civarında işaretlendiğini bildirdi. Bunu izleyen altı saat içinde anonimleştirilmiş altyapıdan ek istismar girişimleri kaydedildi. Amazon Tehdit İstihbaratı, kullanılan yük çeşitliliği ve anonimleştirme altyapısının birden fazla tehdit aktörünün sürece dahil olduğuna işaret ettiğini belirtti. 21 Ekim 2026 tarihinde aşağıdaki IP adreslerinden girişimler kayıt altına alındı:

• 31.223.184[.]166
• 37.19.200[.]5
• 134.209.159[.]64
• 103.114.163[.]188
• 95.217.98[.]37

\n

Küresel Uyarılar ve Etkilenen Sistemlerin Boyutu​

Açıkların ciddiyeti, uluslararası siber güvenlik kurumlarını harekete geçirdi. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ve İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), kuruluşları yamaları bir an önce uygulamaya ya da sistemleri çevrimdışı almaya çağırdı. ABD Federal Soruşturma Bürosu (FBI) X platformunda yaptığı paylaşımda, PHP işlemlerinin beklenmedik biçimde komut kabukları başlatıp başlatmadığının veya dosya indirip indirmediğinin izlenmesini tavsiye etti. ABD Ulusal Güvenlik Ajansı (NSA) ise açıkların tehdit aktörlerine sunucunun dosya sistemi veya veritabanına doğrudan bir yol sağlayabileceğini vurguladı.
VulnCheck'in analizi, internet üzerinden erişilebilen 2.608.039 konakta PHP tespit etti; bunların 700.000'den fazlası PHP 3.x ile 7.3 arasındaki sürümleri çalıştırıyor. Modat ise 20 Ekim 2026 itibarıyla 4,38 milyon internet bağlantılı PHP hizmeti saptadığını ve bunların yüzde 79'unun, yani yaklaşık 3,47 milyonunun PHP'nin artık desteklemediği bir dalda çalıştığını bildirdi. 2022'de kullanım ömrünü dolduran PHP 7.4, 878.761 hizmetle bu kategorinin başında yer alıyor.
Cloudflare, PHP'nin dünya genelindeki web sitelerinin yaklaşık yüzde 70'ine güç sağladığını hatırlatarak WordPress ve Magento gibi yaygın kullanılan platformların da risk altında olduğunu belirtti. OpenAI ise açıkları "son dönemin en etkili güvenlik sorunlarından biri" olarak nitelendirerek bir web sitesinin ya da yerel PHP ikili dosyasının PHP2Shell'e karşı savunmasız olup olmadığını kontrol eden bir Codex becerisi yayımladı.

Sektörden Gelen Tepkiler ve Ek Gelişmeler​

WebOps platformu, 21 Ekim 2026 saat 19:08 PDT itibarıyla açığı yoklayan 60.000'den fazla şüpheli isteği engellediğini duyurdu. VulnCheck, "php2shell-scan/109618" kullanıcı ajanına sahip iki konağın CVE-2026-109618'i kendi bal küplerine yönelik olarak silahlandırdığını belirledi; ayrıca 109.71.252[.]97 numaralı konağın her iki açığı birden kullandığı tespit edildi. Cloudflare ise saldırganların kural mantığını analiz ederek koruma mekanizmalarını atlatmaya çalışmak amacıyla yük mutasyonuna başvurduğunu aktardı. JFrog, GitHub'da kurbanların duvar kağıdını NSFW içerikle değiştiren sahte PoC istismarları ve şaka amaçlı kötü amaçlı yazılımların yayımlandığını da gözlemledi.
Amazon CISO'su Moses, yamadan çalışan istismara geçiş süresinin giderek kısaldığına dikkat çekti: "Geçmişte gözlemlediğimiz istismarların büyük çoğunluğu, kamuya açık bir kavram kanıtı yayımlandıktan sonra geliyordu. Küçük bir grup yetenekli aktör istismar geliştiriyor, diğerleri ise bekliyordu. Bu bağımlılık zayıflıyor. Yapay zeka destekli analiz, bir yama farkını ya da danışma belgesini çalışan bir istismara dönüştürmenin maliyetini düşürüyor. Sonuç olarak, teknik ayrıntılar açıklandığında daha fazla aktör saatler hatta dakikalar içinde harekete geçebiliyor."

Sıkça Sorulan Sorular​

PHP2Shell güvenlik açıkları nedir ve hangi PHP sürümlerini etkiliyor?​

CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen PHP2Shell açıkları, CVSS puanlama sisteminde 9,2 ile derecelendirildi. PHP 7.x ve 8.x serilerinin tamamını etkiliyor; kimlik doğrulaması gerektirmeden uzaktan kod yürütülmesine olanak tanıyan bu açıklar, bellek yönetimi ve hata işleme bileşenlerinde bulunuyor.

Amazon, istismar girişimini kamuoyuna açıklamadan önce nasıl tespit etti?​

Amazon, MadPot adlı bal küpü hizmetini kullanan tehdit istihbarat ekibi aracılığıyla 17 Ekim 2026'da, koordineli açıklamadan dört gün önce bir istismar girişimi tespit etti. Girişim, Avustralya'ya coğrafi olarak konumlandırılan ve ticari bir anonimleştirme ağıyla ilişkilendirilen 103.216.220[.]92 IP adresinden geldi.

Chainguard'ın ambargoyu kırması saldırıların başlamasını nasıl etkiledi?​

Chainguard, düzeltmeyi içeren derlenmiş görüntüleri koordineli açıklama tarihinden önce yayımladı. ELLIO'nun verilerine göre bu gelişmeden bir saatten kısa süre sonra, 21 Ekim 2026 saat 08:36 UTC'de PHP2Shell'i hedef alan ilk istek gözlemlendi. PHP Foundation, bu adımın saldırganlara diğer PHP kullanıcıları yamayı beklerken düzeltmeyi ikili biçimde inceleme imkânı tanıdığını belirtti.

Dünyada kaç PHP hizmeti bu açıklardan etkilenme riski taşıyor?​

VulnCheck, internet üzerinden erişilebilen 2.608.039 konakta PHP tespit etti; bunların 700.000'den fazlası desteklenmeyen sürümleri çalıştırıyor. Modat ise 20 Ekim 2026 itibarıyla 4,38 milyon internet bağlantılı PHP hizmeti saptadı ve bunların yüzde 79'unun PHP'nin artık desteklemediği bir dalda çalıştığını bildirdi.

Hangi uluslararası kurumlar PHP2Shell açıkları için uyarı yayımladı?​

ABD'den CISA, FBI ve NSA; İngiltere'den NCSC; Avustralya'dan ASD; Kanada'dan CCCS; Singapur'dan CSA; Avrupa'dan CERT-EU ve ENISA; Almanya'dan BSI; Hollanda'dan NCSC-NL ve Hindistan'dan CERT-In bu açıklara ilişkin tavsiye ve uyarı yayımlayan kurumlar arasında yer alıyor.