PHP2Shell saldırıları yamalardan dört gün önce başladı

PHP çekirdeğindeki CVE-2026-109618 ve CVE-2026-109619 açıklarını hedef alan saldırı girişimleri, güvenlik yamalarının yayımlanmasından dört gün önce başladı. Amazon Web Services (AWS), 17 Ekim’de MadPot honeypot sisteminde bir istismar girişimi tespit ettiğini, 21 Ekim’deki kamuya açık duyurunun ardından ise PHP2Shell olarak anılan faaliyetlerin internet genelinde yaygınlaştığını bildirdi. Girişimin ticari bir anonimleştirme ağıyla ilişkili bir IP adresinden geldiği, farklı payload ve altyapıların da birden fazla aktörün devrede olabileceğine işaret ettiği aktarıldı. Ancak bu girişimlerin gerçek sistemlerde başarıya ulaşıp ulaşmadığı kesinleşmiş değil.

Açıklar, PHP çalışma ortamındaki bellek yönetimi hatalarından kaynaklanıyor ve özel hazırlanmış HTTP istekleriyle tetiklenebiliyor. Etkilenen sistemlerde kimlik doğrulaması gerektirmeden uzaktan kod çalıştırma ve sunucunun ele geçirilmesi mümkün olabiliyor. PHP 5.4 ve sonraki sürümleri etkileyen sorunlar; WordPress, Drupal, Joomla ve Magento gibi PHP tabanlı platformları kullanan web siteleri ve hizmetler açısından geniş bir risk alanı oluşturuyor.

Cloudflare, duyurudan önce koruma kuralları hazırladığını ve saldırı girişimlerinin kısa sürede milyonlara ulaştığını bildirdi. PHP ekibi iki açık için 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerini yayımladı; kaynaklar güncellemenin tam çözüm olduğunu belirtiyor. Türkiye’de Siber Güvenlik Başkanlığı, e-Devlet Kapısı’ndaki kontrollerde hizmetlerin güvenliğini olumsuz etkileyen bir sorun bulunmadığını açıkladı; buna karşın PHP altyapısı kullanan kurum ve işletmeler için yamalanmamış sistemler saldırı girişimlerinin hedefi olmayı sürdürüyor.

-
Bu içerik GPT-5.6-LUNA modeli ile hazırlandı.