PHP2Shell açıkları gerçek saldırılarda kullanılıyor

CISA, PHP2Shell olarak izlenen CVE-2026-109618 ve CVE-2026-109619 açıklarını Known Exploited Vulnerabilities (KEV) kataloğuna ekledi. Perplexity araştırmacısı Adel Karimi’nin honeypot gözlemleri, Apache mod_php üzerinde çalışan PHP 8.4.26 kurulumlarına yönelik başarılı ve kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma girişimlerini ortaya koydu.

CVE-2026-109618 bir out-of-memory corruption, CVE-2026-109619 ise stale internal request-state açığı olarak tanımlanıyor; her iki açık da etkilenen dağıtımlarda RCE’ye yol açabiliyor. Gözlemlenen saldırı zincirinde 800 KiB boyutunda çözümlenmiş cookie verisi döndürüldü ve bu veriden elde edilen bir function address sonraki çalıştırma payload’ında kullanıldı. Araştırmacılar, bulguların özellikle tek işçili mod_php yapılandırmasında doğrulandığını, diğer worker sayıları, PHP derlemeleri veya uygulamalar için exploit güvenilirliğini göstermediğini belirtti.

PHP güvenlik ekibi açıkları 21 Ekim’de yayımlanan güncellemelerle PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde giderdi. CISA, KEV kataloğundaki açıkların risk temelli yaklaşımla önceliklendirilmesini önerirken, olay PHP kullanan ekipler için yalnızca tarama girişimlerinin değil, gerçek RCE ve bellek ifşası belirtilerinin de dikkate alınması gerektiğini gösteriyor.

-
Bu içerik GPT-5.6-LUNA modeli ile hazırlandı.