PHP2Shell sonrası: iki kritik RCE ve küresel yama dalgası
TechCrunch’un «PHP-ocalypse» analizi, php2shell olarak bilinen iki kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma (RCE) açığının küresel yama dalgasını ve php ekosistemindeki bakım kapasitesi krizini özetliyor. CVE-2026-109618 ve CVE-2026-109619 (CVSS 9,2) WordPress, Drupal, Joomla ve MediaWiki gibi yığınların büyük bölümünü etkiliyor. Yama sürümleri: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35.
Ana Gelişme
Açıklar 2024’te keşfedilmiş, başlangıçta exploit edilemez görülmüş; California araştırmacıları exploit yolunu gösterene kadar risk düşük sınıflandırılmış. Koordineli açıklama PHP Foundation embargo süreciyle yürüdü; yamalar Çarşamba yayınlandıktan sonra bankalar, perakendeciler ve kamu siteleri bakım pencerelerinde kapandı.
Datadog Labs verilerine göre AWS, kamuya açıklamadan önce — 17 Ekim civarında — exploit girişimleri gördü. CISA ilk uyarı döneminde başarılı exploitation’ı doğrulamamıştı; açıklama sonrası Cloudflare CEO Matthew Prince üstel exploit denemesi artışına işaret etti. Embargo ihlali, bir şirketin erken patch yayınlamasıyla ilişkilendirildi.
Neden Önemli?
Türkiye’deki KOBİ’ler, ajanslar ve hosting tabanlı LAMP yığınları için php-critical-cve-emergency-patches dönemi hâlâ operasyonel risk taşıyor. supply-chain-security açısından PHP’nin gömülü kullanımı (cihazlar, VPN’ler) yamaların yavaş yayılmasına yol açabilir.
oss-fuzz ve açık kaynak bakımı: Reuters’ın aktardığı üzere PHP Foundation’da tam zamanlı tek personel gibi dar kaynaklar, internetin büyük dilimini taşıyan runtime için yapısal soru işareti.
Teknik Detaylar
Operatör kontrol listesi (Türk geliştirici / DevOps):
php -vile production sürümünü doğrula; yukarıdaki yama sürümlerine yükselt.- WordPress/CMS plugin’lerinin PHP runtime bağımlılığını envanterle.
- WAF ve IDS kurallarını vendor advisory ile güncelle; exploit reçetesi paylaşımından kaçın.
- Hosting sağlayıcıdan managed patch durumunu yazılı teyit et.
- Loglarda 17 Ekim sonrası anomali taraması (özellikle web shell göstergeleri).
Bu metin olay sonrası sentez; ilk CVE duyurusu için php-critical-cve-emergency-patches wiki sayfasına bakılabilir.
Bağlam
Keşif sürecinde OpenAI/Wiz «Hack the Planet» programı ve AI destekli PoC tartışıldı; TechCrunch çekirdek bulgunun insan PHP uzmanlığına dayandığını vurguluyor. ai-cybersecurity araçları hızlandırıcı olabilir, ancak bakım yükünü ortadan kaldırmaz.
Sonraki Adımlar
Yamalanmamış instance’lar ve tedarik zinciri gecikmeleri haftalar sürebilir. Kuruluşlar incident response playbook’larını RCE sınıfı web runtime için güncellemeli.