PHP2Shell Açıkları Kamuoyuna Duyurulmadan 4 Gün Önce Sömürülmeye Çalışıldı

Amazon'un tehdit istihbarat ekibi, PHP çekirdeğini etkileyen ve PHP2Shell olarak adlandırılan iki kritik güvenlik açığının koordineli ifşa tarihinden dört gün önce, 17 Ekim 2026'da kendi MadPot honeypot hizmetine yönelik bir istismar girişimi kaydettiğini açıkladı. Girişim, Avustralya'ya coğrafi olarak konumlandırılmış 103.216.220[.]92 IP adresinden geldi ve bu adresin ticari bir anonimleştirme ağıyla ilişkili olduğu belirlendi.
Amazon Entegre Güvenlik CISO'su CJ Moses, The Hacker News ile paylaştığı açıklamada şu değerlendirmede bulundu: "Açık ambargo altındayken anonimleştirilmiş bir IP adresinden honeypot'un hedef alınması, faaliyetin bir tehdit aktörü tarafından yürütüldüğüne işaret ediyor; ancak aktörün ifşa öncesinde istismar bilgisine nasıl ulaştığı henüz netlik kazanmadı."

CVE-2026-109618 ve CVE-2026-109619: Açıkların Kapsamı​

Söz konusu açıklar, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen ve her ikisi de CVSS puanlama sisteminde 9,2 olarak derecelendirilen iki zafiyetten oluşuyor. Calif, OpenAI ve Google bünyesindeki Wiz'den araştırmacılar tarafından keşfedilen bu açıklar, etkilenen sistemlerde kimlik doğrulaması gerektirmeksizin uzaktan kod yürütülmesine olanak tanıyor. PHP'nin 7.x ve 8.x serisindeki her sürümü kapsayan zafiyetler; statik formlar, giriş rotaları ve sağlık kontrolleri dahil olmak üzere etkilenen sunucudaki tüm PHP uç noktalarını riske atıyor.
PHP Foundation, açıkların PHP'nin neredeyse her isteğin geçtiği iki temel bileşenini —bellek yönetimi ve hata işleme— etkilediğini belirterek şunları söyledi: "Her iki açığın da PHP'deki merkezi konumu, onları hem ciddi hem de uyumluluğu bozmadan, performansı düşürmeden ya da geniş üçüncü taraf uzantı ekosistemi üzerinde değişiklik zorlamadan düzeltilmesi son derece güç hale getirdi."
CrowdStrike'ın analizine göre bu açıkları kullanan bir saldırı neredeyse hiç dijital iz bırakmıyor. Şirket, durumu şöyle özetledi: "Atlatılacak bir kimlik doğrulaması, çalınacak bir oturum veya keşfedilecek savunmasız bir uç nokta yok. Çalışan süreçler kararlı kalıyor, yanıtlar HTTP 200 döndürüyor ve uygulama günlükleri hiçbir anomali kaydetmiyor; çünkü hiçbir uygulama kodu hiç çalışmıyor. Sunucu tarafındaki tek iz, web sunucusunun hata günlüğünde rutin olarak gürültü olarak geçiştirilen tek bir bellek sınırı hatası."

Embargo İhlali ve Erken İfşanın Sonuçları​

Açıklamalar başlangıçta 22 Ekim 2026 saat 14:00 UTC için planlanmıştı; ancak CVE tanımlayıcıları ve kavram kanıtı (PoC) istismarı önceden sızdı. Bu gelişme üzerine PHP Foundation, yayım tarihini bir gün öne çekti. Amazon, yamalar yayımlandığı gün, 21 Ekim 2026 saat 02:00 UTC civarında PHP2Shell için birden fazla PoC istismarı tespit ettiğini ve ardından anonimleştirilmiş altyapıdan gelen ek istismar girişimlerinin altı saat boyunca sürdüğünü aktardı. 21 Ekim 2026'da kaydedilen girişimlerde kullanılan IP adresleri şunlar: 31.223.184[.]166, 37.19.200[.]5, 134.209.159[.]64, 103.114.163[.]188 ve 95.217.98[.]37. Kullanılan yük çeşitliliği ve anonimleştirme altyapısı, birden fazla tehdit aktörünün devrede olduğuna işaret ediyor.
ELLIO'nun sensörlerine yönelik ilk PHP2Shell isteği ise 21 Ekim saat 08:36 UTC'de, yani Chainguard'ın düzeltmeyi içeren derlenmiş görüntüleri yayımlamasından bir saatten kısa bir süre sonra gözlemlendi. PHP Foundation, Chainguard'ın yamayı önceden aldığını ancak bu adımın koordineli ifşa sürecini sekteye uğrattığını vurgulayarak şöyle dedi: "Herhangi bir saldırgan, diğer PHP kullanıcıları hâlâ sürümü beklerken düzeltmeyi ikili biçimde inceleyebilirdi. Bu durum, birçok tarafın koordineli ifşa için harcadığı haftalarca süren çalışmayı göz ardı etti."

Küresel Uyarılar ve Sektörün Tepkisi​

Açıkların ciddiyeti, İngiltere Ulusal Siber Güvenlik Merkezi (NCSC) ve ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) gibi uluslararası kuruluşları harekete geçirdi; her iki kurum da kuruluşları yamaları bir an önce uygulamaya ya da sistemleri çevrimdışına almayı değerlendirmeye davet etti. ABD Federal Soruşturma Bürosu (FBI) yaptığı paylaşımda, web sunucularının PHP süreçlerinin beklenmedik biçimde komut kabuğu başlatıp başlatmadığı veya dosya indirip indirmediği açısından izlenmesini tavsiye etti. ABD Ulusal Güvenlik Ajansı (NSA) ise açıkların tehdit aktörlerine sunucunun dosya sistemine veya veri tabanına doğrudan bir yol sağlayabileceği uyarısında bulundu.
Cloudflare, PHP'nin dünya genelindeki web sitelerinin yaklaşık yüzde 70'ini desteklediğini hatırlatarak açıkların WordPress ve Magento gibi yaygın kullanılan platformları da kapsadığını belirtti. VulnCheck'in analizi, internet üzerinde 2.608.039 PHP barındıran ana makine tespit etti; bunların 700.000'den fazlası PHP 3.x ile 7.3 arasındaki sürümleri, yaklaşık 400.000'i PHP 7.4, 8.0 veya 8.1 sürümlerini çalıştırıyor. VulnCheck ayrıca kullanıcı aracısı "php2shell-scan/109618" olan iki ana makine (85.11.167[.]243 ve 45.198.224[.]169) ile her iki açığı da kullanan 109.71.252[.]97 adresini tespit etti. WebOps platformu Pantheon ise açığı araştıran 60.000'den fazla şüpheli isteği engellediğini duyurdu.
Sonatype'ın Alan CTO'su Ilkka Turunen, önceliğin net bir sorumluluk çerçevesi oluşturmak olduğunu belirterek şunları söyledi: "PHP'nin hizmet ve ürünlerinizde nerede kullanıldığını, düzeltmenin sorumlusunun kim olduğunu ve yamaların ne kadar hızlı dağıtılabileceğini bilmek şart. PHP birçok işletim sistemi dağıtımına paketlenmiş ve pek çok eski ortamda bulunduğundan, bu yamayı uygulaması gereken ortamların uzun bir kuyruk oluşturması kuvvetle muhtemel."
Amazon CISO'su Moses, genel tabloya ilişkin değerlendirmesini şöyle özetledi: "Yamadan çalışan istismara geçen süre yapısal nedenlerle kısalıyor. Geçmişte gözlemlediğimiz istismarların büyük çoğunluğu, kamuya açık bir kavram kanıtı yayımlandıktan sonra geliyordu. Sınırlı sayıda yetenekli aktör istismar geliştiriyor, diğerleri bekliyordu. Bu bağımlılık zayıflıyor. Yapay zeka destekli analiz, bir yama farkından ya da danışma belgesinden çalışan bir istismar üretme maliyetini düşürüyor. Sonuç olarak, teknik ayrıntılar ifşa edildiğinde daha fazla aktör saatler, hatta dakikalar içinde harekete geçebiliyor."

Sıkça Sorulan Sorular​

PHP2Shell açıkları ilk olarak ne zaman ve nasıl tespit edildi?​

Amazon'un tehdit istihbarat ekibi, PHP2Shell açıklarını sömürmeye yönelik ilk girişimi 17 Ekim 2026'da MadPot honeypot hizmetine yönelik bir saldırı denemesi sırasında tespit etti. Bu tarih, açıkların kamuoyuna duyurulmasından dört gün öncesine karşılık geliyor.

CVE-2026-109618 ve CVE-2026-109619 hangi PHP sürümlerini etkiliyor?​

Her iki açık da PHP'nin 7.x ve 8.x serisindeki tüm sürümlerinde mevcut. Zafiyetler, etkilenen sunucudaki statik formlar, giriş rotaları ve sağlık kontrolleri dahil her erişilebilir PHP uç noktasını riske atıyor.

Chainguard'ın erken yayımı süreci nasıl etkiledi?​

Chainguard, düzeltmeyi içeren derlenmiş görüntüleri koordineli ifşa tarihinden önce yayımladı. PHP Foundation'a göre bu durum, saldırganlara diğer PHP kullanıcıları henüz sürümü beklerken yamayı ikili biçimde inceleme imkânı tanıdı ve haftalarca süren koordineli ifşa çalışmalarını sekteye uğrattı.

Açıkların sömürülmesi neden bu kadar zor fark ediliyor?​

CrowdStrike'ın analizine göre saldırı herhangi bir kimlik doğrulama atlatma, oturum çalma veya savunmasız uç nokta keşfi gerektirmiyor. Çalışan süreçler kararlı kalıyor, yanıtlar HTTP 200 döndürüyor ve uygulama günlükleri anomali kaydetmiyor; çünkü hiçbir uygulama kodu çalışmıyor. Sunucu tarafındaki tek iz, web sunucusunun hata günlüğünde rutin gürültü olarak geçiştirilen tek bir bellek sınırı hatası.

Hangi uluslararası kurumlar uyarı yayımladı ve ne tavsiye etti?​

İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), ABD Federal Soruşturma Bürosu (FBI) ve ABD Ulusal Güvenlik Ajansı (NSA) uyarı yayımladı. Kurumlar, kuruluşları yamaları bir an önce uygulamaya, sistemleri çevrimdışına almayı değerlendirmeye ve PHP süreçlerinin beklenmedik komut kabuğu başlatıp başlatmadığını izlemeye davet etti.