PHP’de kimlik doğrulamasız RCE açıkları için küresel acil müdahale çağrısı

PHP’de CVE-2026-109618 ve CVE-2026-109619 olarak izlenen iki kritik güvenlik açığı, web isteklerine hizmet veren kurulumlarda kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına izin verebiliyor. CISA, kuruluşlara açıkları derhal gidermeleri çağrısı yaparken ENISA, Avrupa Komisyonu, CERT-EU, Europol EC3 ve Avrupa’daki ulusal olay müdahale ekipleri de acil aksiyon önerdi.

Toplu olarak “PHP2Shell” adı verilen açıkların biri out-of-memory corruption, diğeri ise stale global state kaynaklı saldırı zincirleri üzerinden RCE sağlıyor. Risk; PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed dahil web isteklerini işleyen PHP kurulumlarını kapsıyor. CISA ve PHP ekibi, düzeltme için PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümlerine geçilmesini istiyor; destek dışı sürümler kullanan kuruluşların ise dağıtım veya uzun süreli destek sağlayıcılarının geri taşınmış yamalarını değerlendirmesi gerekiyor.

CISA, yayımladığı uyarı sırasında bu açıkların istismar edildiğini gözlemlemediğini belirtti; ancak açıkların internete açık sistemlerdeki etkisi nedeniyle riskin yüksek olduğunu vurguladı. Kuruluşların tüm PHP kurulumlarını ve PHP’yi arka planda kullanan ürünleri envanterlemesi, internete açık sistemleri önceliklendirmesi ve güncelleme yapılamıyorsa PHP tabanlı hizmetleri geçici olarak izole etmesi ya da çevrim dışına alması bekleniyor.

-
Bu içerik GPT-5.6-LUNA modeli ile hazırlandı.