AnswersPublished23 sources
PHP2Shell krizi: PHP sunucuları neden acilen güncellendi?
CVE 2026 109618 ve CVE 2026 109619, PHP’de oturum açmadan uzaktan kod çalıştırmaya yol açabilecek iki kritik açıktı; ikisi de CVSS v4.0 ölçeğinde 9,2 puan aldı. Calif’in OpenAI’nin Patch the Planet girişimi kapsamında GPT 5.6 Sol’dan yararlandığı, Wiz’in ise araştırmasında Wiz Atlas, Gemini 4 Argon ve GPT 5.6 Sol’u...
YayımlayanGPT-6 Luna ile düzenlendiGörseller GPT Image 2 ile oluşturuldu
Research answer
Key takeaways
- CVE 2026 109618 ve CVE 2026 109619, PHP’de oturum açmadan uzaktan kod çalıştırmaya yol açabilecek iki kritik açıktı; ikisi de CVSS v4.0 ölçeğinde 9,2 puan aldı.
- Calif’in OpenAI’nin Patch the Planet girişimi kapsamında GPT 5.6 Sol’dan yararlandığı, Wiz’in ise araştırmasında Wiz Atlas, Gemini 4 Argon ve GPT 5.6 Sol’u kullandığı bildirildi.
- 20 Ekim’de ayrıntıların planlanandan önce açığa çıkmasının ardından PHP, yamaları 21 Ekim’de yayımladı.
- Amazon’ın telemetrisinde 17 Ekim’de bir istismar girişimi görüldüğü bildirildi; bu, girişimin başarılı olduğunu veya yaygın ihlal yaşandığını tek başına göstermiyor.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
PHP2Shell adı verilen iki kritik açık, PHP’nin web isteklerini işleyen kurulumlarında oturum açmamış bir saldırganın sunucuda uzaktan kod çalıştırmasına imkân verebilirdi. PHP ekibi, planlanan açıklama tarihinden önce bilgilerin sızmasının ardından yamaları 21 Ekim 2026’da yayımladı. 5
7
24 Acil güncelleme çağrısı güçlüydü; ancak eldeki bilgiler, her açık sunucunun ele geçirildiğini ya da geniş çaplı başarılı ihlaller yaşandığını göstermiyor.
Açıklar ve yapay zekâ destekli keşif
PHP, web sitelerinin sunucu tarafında çalışan yazılımlardan biri. PHP2Shell ise PHP çekirdeğindeki iki ayrı açığı kapsıyor:
- CVE-2026-109618, bellek yetersizliği (out-of-memory) sırasında oluşabilen bellek bozulmasıyla ilişkili.
- CVE-2026-109619, eski global durumun bellekte kalmasıyla ilişkili.
Her iki açık da uygun koşullarda uzaktan kod çalıştırmaya yol açabiliyor. Güvenlik değerlendirmelerinde ikisine de CVSS v4.0 üzerinden 9,2 puan verildi. 7
9
10
Keşif sürecinde yapay zekâ araçlarının kullanıldığı bildirildi. Calif’in, OpenAI’nin “Patch the Planet” girişimi kapsamında GPT-5.6 Sol’dan yararlandığı; Wiz’in ise açıkları bağımsız araştırmayla belirlediği aktarıldı. Wiz araştırması için Wiz Atlas, Gemini 4 Argon ve GPT-5.6 Sol’un da adı geçiyor. 18
21 Bu örnek, AI araçlarının güvenlik araştırmalarında rol alabildiğini gösteriyor; fakat tek başına yapay zekânın savunmaya mı yoksa saldırganlara mı daha çok avantaj sağladığını kanıtlamıyor.
Bilgi sızıntısı ve acil yamalar
Açıklamanın 22 Ekim’de yapılması planlanmıştı. Ancak ayrıntılar 20 Ekim’de kamuya yansıyınca PHP ekibi yamaları 21 Ekim’de yayımladı. 7
24 Düzeltmeler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde yer aldı. PHP, web isteklerini işleyen kurulumların güncellenmesini istedi.
PHP 8.1 ve daha eski sürümler artık PHP projesinden düzenli güvenlik güncellemesi almıyor. Bu nedenle, yalnızca sürüm yükseltme uyarısına bakmak yerine kullanılan sürüm dalının ve barındırma sağlayıcısının sunduğu düzeltmelerin ayrıca kontrol edilmesi gerekiyor.
Açıkların PHP 5.4 ve sonrasını kapsadığı bildirildi; Wiz’in veritabanı kapsamı “PHP 5 ve sonrası” diye tanımlıyor. 2
14 Bu, eski sürümlerin de risk kapsamına girebildiğine işaret ediyor, fakat kaynaklardaki bilgiler açığın tam olarak kaç yıldır var olduğunu kesin biçimde ortaya koymuyor.
Tehlike ne kadar yaygındı?
PHP’nin web’in tahminen yüzde 70’inde kullanıldığı bildirildi. Palo Alto Networks’ün de PHP2Shell’den etkilenme ihtimali bulunan, internete açık 22,6 milyondan fazla örnek tespit ettiği aktarıldı. 23 Bu rakamlar olası maruziyeti gösteriyor; doğrulanmış ihlal sayısı anlamına gelmiyor. Ayrıca yüzde 70’lik kullanım tahmini, internetteki her sitenin aynı yapılandırmayı kullandığını ya da her kurulumun istismar edilebildiğini göstermez.
Kurumlar ve teknoloji sağlayıcıları hızlı biçimde uyarılar yayımladı. NSA, PHP kullanan sistemlerin envanterinin çıkarılmasını ve ilgili yamaların önceliklendirilmesini önerdi; CISA da acil güncelleme çağrısı yaptı. Google, AWS ve Microsoft müşterilerine yönelik yönlendirmeler yayımlayan şirketler arasındaydı. 3
17
18 Bazı sitelerin güncelleme sırasında geçici olarak çevrimdışı kaldığı da bildirildi; ancak mevcut kaynaklar bu kesintilerin kapsamını veya etkisini ayrıntılandırmıyor.
İstismar girişimleri, başarılı ihlal demek değil
Amazon’ın tehdit istihbaratı ekibinin, açıklamadan dört gün önce —17 Ekim’de— bir PHP2Shell istismar girişimi gözlemlediği bildirildi. 4 Bu, tehdidin kamuya açıklanmadan önce yoklandığına dair bir işaret; ancak tek başına girişimin başarılı olduğunu veya üretim sistemlerinin ele geçirildiğini kanıtlamıyor.
Ayrıca güvenlik şirketi Sansec, 22 Ekim’de kitlesel istismarın ilk gün beklediğinden daha düşük olasılıklı göründüğünü belirtti. 10 Bu nedenle istismar denemelerini, çalışan bir kavram kanıtını ve doğrulanmış sistem ihlalini birbirinden ayırmak önemli. Kaynaklar büyük ölçekli başarılı saldırıların boyutunu kesinleştirmiyor.
23 Ekim’de gelen ek uyarı
PHP, 23 Ekim’de CVE-2026-115560 olarak anılan, belirli ve alışılmadık oturum ayarlarına bağlı düşük olasılıklı bir başka uzaktan kod çalıştırma yolu hakkında uyarı yayımladı. PHP, sonraki olağan hata düzeltme sürümüne kadar session.upload_progress.enabled=0 ayarını önerdi. Uygulama çalışma sırasında serileştirme işleyicisini değiştirmiyorsa bu özelliğin açık kalabileceğini de belirtti.
Eşzamanlı olaylar ve doğrulanamayan iddialar
Aynı dönemde PHP2Shell’den ayrı başka güvenlik başlıkları da gündeme geldi. Imperva’nın “Node2Shell” adı verilen gösteriminde, özel hazırlanmış Brotli verisinin resmi Node.js 24.22.0 Linux arm64 imajında saldırgan kontrollü kod çalıştırabildiği aktarıldı. Ekim ayındaki ayrı bir olay derlemesi LiteLLM ve eMudhra’yı da ele alıyor; ancak sağlanan özetler bu olayların ayrıntılarını veya kapsamını tam olarak doğrulamaya yetmiyor.
PHP Foundation’ın kaynak yetersizliği nedeniyle 2024’te fark edilen sorunu ele alamadığına dair “yapısal başarısızlık” iddiasını, OpenAI’ye atfedilen PHP sürüm denetleyicisini veya 1 milyar dolarlık Daybreak sübvansiyon vaadini doğrulayacak yeterli bilgi mevcut değil. Bu nedenle bunları PHP2Shell olayının kesinleşmiş unsurları gibi sunmak doğru olmaz.
Pratik sonuç net: PHP kullanan sistemleri envantere alın, sürümünüz için uygun düzeltmeyi kontrol edin ve güncelleyin. Açık sistemlerin olası sayısı endişe verici olsa da, olası maruziyet ile doğrulanmış ihlal aynı şey değil. 17
18
23
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell krizi: PHP sunucuları neden acilen güncellendi?"?
CVE 2026 109618 ve CVE 2026 109619, PHP’de oturum açmadan uzaktan kod çalıştırmaya yol açabilecek iki kritik açıktı; ikisi de CVSS v4.0 ölçeğinde 9,2 puan aldı.
What are the key points to validate first?
CVE 2026 109618 ve CVE 2026 109619, PHP’de oturum açmadan uzaktan kod çalıştırmaya yol açabilecek iki kritik açıktı; ikisi de CVSS v4.0 ölçeğinde 9,2 puan aldı. Calif’in OpenAI’nin Patch the Planet girişimi kapsamında GPT 5.6 Sol’dan yararlandığı, Wiz’in ise araştırmasında Wiz Atlas, Gemini 4 Argon ve GPT 5.6 Sol’u kullandığı bildirildi.
What should I do next in practice?
20 Ekim’de ayrıntıların planlanandan önce açığa çıkmasının ardından PHP, yamaları 21 Ekim’de yayımladı.