Newsletter Subscribe
Enter your email address below and subscribe to our newsletter
[forminator_form id="25163"]

bleepingcomputer.com.wiz.io.reuters.com+1.21 Ekim Çarşamba günü, PHP geliştiricileri dilin çekirdek motorundaki iki kritik açık için planlanmamış güvenlik güncellemeleri yayınladı. PHP2Shell olarak adlandırılan bu hatalar, hesabı olmayan bir saldırganın web sunucularında kod çalıştırmasına olanak tanıyor. BleepingComputer, düzeltilen sürümlerin PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 olduğunu bildirdi. CVE-2026-109618 ve CVE-2026-109619 olarak izlenen açıkların her biri CVSS v4.0 ölçeğinde 9.2 puanla derecelendiriliyor. The Hacker News, PHP'nin güncellemeleri 22 Ekim'deki planlı açıklamadan bir gün önce, yaklaşık 14:00 UTC'de yayınladığını belirtti.bleepingcomputer.com+1
Risk oldukça yüksek çünkü açıklar bireysel uygulamalarda değil, doğrudan çalışma zamanının (runtime) kendisinde bulunuyor. Açıkları bulan ekiplerden biri olan Wiz Research, PHP'nin dünya web sitelerinin yaklaşık %70'ine güç verdiğini ve son on yıldaki 5.4'ten bu yana tüm PHP sürümlerinin en az bir hataya sahip olduğunu söylüyor.ncsc.gov.uk
Reuters'in haberine göre, Hollanda ve Finlandiya'daki devlet kurumları önlem olarak web sitelerini çevrimdışı duruma getirdi. Avrupa, Avustralya, Japonya ve İngiltere'deki siber güvenlik ajansları, PHP kullanıcılarına hemen güncelleme yapmalarını veya sitelerini çevrimdışı almalarını söyledi. Hollanda siber güvenlik ajansı kendi web sitesini kapattı. BBC'ye göre, Hollanda parlamentosunun alt kanadı Tweede Kamer ve Ulusal Halk Sağlığı ve Çevre Enstitüsü de aynı yolu izledi. İngiltere'nin Ulusal Siber Güvenlik Merkezi, "acil iyileştirmenin mümkün olmadığı durumlarda, kuruluşların sistemi çevrimdışı almayı düşünmeleri gerektiğini" tavsiye etti.reuters.com+1
Yamalar çıkmadan önce Cloudflare CTO'su Dane Knecht, "Erken saldırıların ortaya çıktığını görüyoruz" dedi ve şirketin güvenlik duvarı kurallarını "sadece geçici bir çözüm" olarak nitelendirdi. Başarılı bir sızma doğrulanmadı. 11:26 UTC itibarıyla watchTowr, sahada herhangi bir istismar görmedi.thehackernews.com+1
Açıklar PHP-FPM, mod_php ile Apache, php-cgi, FrankenPHP ve LiteSpeed'i etkiliyor. PHP ekibi, mod_php'nin en yüksek riski taşıdığını, çünkü kanıtlanmış bir istismarın "herhangi bir uygulama kodu çalışmadan önce" kimliği doğrulanmamış bir istekle tetiklenebileceğini söylüyor. 8.1 ve daha eski sürümler artık desteklenmiyor ve resmi sürüm almıyor. Ancak, hataların ciddiyeti göz önüne alındığında, PHP ekibi 7.4, 8.0 ve 8.1 için minimal kaynak backport'ları yayınladı. Saldırganlar ayrıca parolaları, API anahtarlarını ve sertifikaları tutabilen çalışan belleğini de okuyabilir. WordPress gibi bir uygulamayı güncellemek, altındaki PHP çalışma zamanını güncellemez.bleepingcomputer.com+1
Açıklar Wiz, Calif ve OpenAI'ın Codex Security ekibi tarafından bulundu. The Hacker News'e göre, temel kod on yıldan uzun süredir PHP'de bulunuyordu. Wiz, PHP2Shell'i Heartbleed ve Log4Shell ile karşılaştırdı. Yapay zeka modellerinin, uzun süredir devam eden bir açığı çalışan bir istismara dönüştürme engelini "önemli ölçüde azalttığını" belirtti. Yayınlanmadan önce, PHP çekirdek geliştiricisi Gina Peter Banyard, "tek çözümün PHP'yi yamalamak/yükseltmek olduğunu" konusunda uyardı.thehackernews.com+1