AnswersPublished23 sources
PHP2Shell nedir? PHP’deki kritik açıklar ve acil güncelleme rehberi
PHP2Shell, CVSS v4.0’a göre 9,2 (Kritik) puan alan ve kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına yol açabilen iki PHP açığını kapsıyor. PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümleri düzeltmeleri içeriyor.
YayımlayanGPT-6 Luna ile düzenlendiGörseller GPT Image 2 ile oluşturuldu
Research answer
Key takeaways
- PHP2Shell, CVSS v4.0’a göre 9,2 (Kritik) puan alan ve kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına yol açabilen iki PHP açığını kapsıyor.
- PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümleri düzeltmeleri içeriyor. Daha eski veya desteği bitmiş dallar için dağıtımcı ya da işletim sistemi sağlayıcısının yönlendirmesine başvurun.
- Amazon’ın tuzak sisteminde kamuya duyurudan önce bir saldırı girişimi görülmesi, gerçek sistemlerin ele geçirildiğini kanıtlamıyor.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell, PHP’nin çekirdek çalışma ortamındaki iki kritik güvenlik açığına verilen ortak ad: CVE-2026-109618 ve CVE-2026-109619. Her ikisi de CVSS v4.0’a göre 9,2 (Kritik) olarak derecelendirildi ve etkilenen bir sunucuda kimlik doğrulaması olmadan kod çalıştırılmasına imkân verebilir. PHP projesi acil düzeltmeleri 21 Ekim 2026’da yayımladı. 
Sistem yöneticileri için ilk adım güncelleme olmalı. Saldırı girişimi raporları —kamuya duyurudan önce Amazon’ın bir tuzak sisteminde gördüğü etkinlik dâhil— konunun aciliyetini artırıyor. Ancak bunlar, üretimdeki bir sistemin ele geçirildiğinin kanıtı değil. 36
PHP2Shell açıkları ne yapıyor?
İki açığın bildirilen teknik nedenleri farklı:
- CVE-2026-109618 bellek yetersizliği durumunun işlenmesiyle ilgili. PHP, bellek yetersizliği (OOM) hatasını işlerken dahili istek verileri henüz tam oluşturulmamış olabilir. Temizleme aşamasında PHP bu geçersiz veriyi geçerliymiş gibi ele alabilir.
58
- CVE-2026-109619 eski dahili durumla ilgili. İstekle bağlantılı bir durum, onu tutan bellek serbest bırakıldıktan sonra geride kalabilir. Bu, belleğin serbest bırakılmasının ardından kullanılması (use-after-free) sorununa yol açar.
9
Açıklar, PHP’nin özel hazırlanmış HTTP isteklerini —dosya yüklemelerinde sık kullanılan multipart/form-data dâhil— işleme biçimiyle bağlantılı. 1
9,2 puan ne anlama geliyor?
Her iki açık da CVSS v4.0 ölçeğinde 10 üzerinden 9,2 ve “Kritik” olarak raporlandı. Saldırganın giriş yapmadan uzaktan kod çalıştırabilmesi, riskin yüksek olmasının başlıca nedenlerinden biri.
Ancak mevcut kaynaklarda puanlamanın tüm bileşenleri, yani CVSS vektörleri bulunmuyor. Bu nedenle 9,2 puanın hangi değerlendirme girdilerinden oluştuğunu ayrıntılı biçimde açıklamak mümkün değil. Puan, açığın ciddiyetini gösterir; belirli bir sunucunun saldırıya uğrama olasılığını ya da tespit edilen bir girişimin başarılı olup olmadığını tek başına ortaya koymaz.
Hangi PHP sürümleri için yama yayımlandı?
Raporlar, etkilenen sürüm aralığının PHP 5.4 ile başladığını belirtiyor. 55 PHP 8.x dalları için yayımlanan acil düzeltmeler şöyle:
| PHP dalı | Düzeltilmiş sürüm |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Bu sürümler 21 Ekim 2026’da yayımlandı. Kullandığınız dalın düzeltilmiş sürümüne veya aynı daldaki daha yeni bir sürüme yükseltin.
Yukarıdaki yamalar 8.2–8.5 dallarını kapsıyor. Daha eski ya da desteği sona ermiş bir PHP dalı kullanıyorsanız listelenen sürümlerin sisteminize doğrudan uygulanacağını varsaymayın; PHP dağıtımcısının veya işletim sistemi sağlayıcısının düzeltme ve yükseltme rehberini kontrol edin.
Saldırı girişimleri bildirildi; başarılı ihlaller belirsiz
Açıklar 20 Ekim’de kamuya duyuruldu; planlanan açıklama tarihi 22 Ekim’di. PHP, acil yamaları 21 Ekim’de yayımladı. 8
42 Kaynaklar duyurunun erken yapılmasını ve yamaların öne çekilmesini doğruluyor; ancak Calif’e ait olduğu belirtilen bir gösterim videosunun yanlışlıkla yayımlanmasının bu kararı tetiklediğini ortaya koymuyor.
Amazon Tehdit İstihbaratı, MadPot adlı tuzak sisteminin telemetrisinde 17 Ekim tarihli bir PHP2Shell saldırı girişimi tespit ettiğini açıkladı. Bu tarih, açıkların kamuya duyurulmasından dört gün önceydi. Amazon ayrıca 21 Ekim’de, yamaların yayımlandığı gün civarında, kavram kanıtı niteliğinde saldırı örnekleri belirlediğini bildirdi. Tuzak sistemindeki kayıt, bir yem sisteme yöneltilen etkinliği gösterir; gerçek bir kuruluşun sisteminin ele geçirildiğini değil.
Cloudflare, duyuru döneminde korumaları devreye aldığını bildirdi; aynı döneme ait haberlerde güvenlik şirketlerinin saldırı trafiği veya girişimleri gözlemlediği de aktarıldı. 55
35 Bununla birlikte, saldırıların yaygınlığı ve başarı durumu konusunda raporlar birbiriyle örtüşmedi: bazı şirketler aktif ya da geniş çaplı saldırılardan söz ederken, başka haberlerde kamu kurumlarının başarılı saldırıları doğrulamadığı belirtildi.
33
36
Eldeki bilgiler, saldırı girişimlerini ciddiye almayı gerektiriyor; ancak her girişimi başarılı bir ihlal saymayı veya saldırıların yaygın olduğu sonucuna varmayı haklı çıkarmıyor. Bir sisteme yöneltilen deneme, çalışan bir istismar yöntemi ve doğrulanmış üretim ortamı ihlali birbirinden farklı şeyler.
Güncelleme hemen yapılamıyorsa ne yapılmalı?
Temel çözüm, PHP’nin düzeltilmiş sürümünü yüklemek. AWS, yükseltmenin iki açık için de tek tam çözüm olduğunu belirtiyor. Yama hemen uygulanamıyorsa çok parçalı dosya yüklemelerini engellemek gibi geçici önlemler maruziyeti azaltabilir; ancak güncellemenin yerini tutmaz.
Kanada Siber Merkezi, kimlik doğrulaması gerektirmeden kod çalıştırma riskine dikkat çeken kritik bir uyarı yayımladı. 2 Mevcut kaynaklarda, NSA’in güncelleme hemen yapılamıyorsa sistemleri çevrimdışı bırakma tavsiyesinde bulunduğu da aktarılıyor.
27 Özellikle PHP’nin başka bir ürüne gömülü olduğu veya barındırma sağlayıcısı tarafından yönetildiği sistemlerde, ilgili üreticinin ve kamu kurumlarının duyurularını izleyin.
Özetle: PHP’nin nerelerde çalıştığını belirleyin, kullandığınız dala uygun yamayı uygulayın ve güvenlik uyarılarını dikkatle inceleyin. PHP2Shell hızlı hareket etmeyi gerektiriyor; ancak saldırı girişimi ile doğrulanmış bir sistem ihlali aynı şey değil.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell nedir? PHP’deki kritik açıklar ve acil güncelleme rehberi"?
PHP2Shell, CVSS v4.0’a göre 9,2 (Kritik) puan alan ve kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına yol açabilen iki PHP açığını kapsıyor.
What are the key points to validate first?
PHP2Shell, CVSS v4.0’a göre 9,2 (Kritik) puan alan ve kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına yol açabilen iki PHP açığını kapsıyor. PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümleri düzeltmeleri içeriyor. Daha eski veya desteği bitmiş dallar için dağıtımcı ya da işletim sistemi sağlayıcısının yönlendirmesine başvurun.
What should I do next in practice?
Amazon’ın tuzak sisteminde kamuya duyurudan önce bir saldırı girişimi görülmesi, gerçek sistemlerin ele geçirildiğini kanıtlamıyor.