AnswersPublished22 sources
PHP2Shell: PHP’deki kritik açıklar, yamalar ve saldırı girişimleri
PHP2Shell, kimlik doğrulaması olmadan etkilenen bir sunucuda uzaktan kod çalıştırılmasına yol açabilecek iki PHP açığını kapsıyor; ikisi de CVSS 4.0’da 9,2 puan aldı. Açıkların CVE numaraları planlanan duyurudan önce ortaya çıkınca PHP, yamaları 21 Ekim 2026’da yayımladı.
YayımlayanGPT-6 Luna ile düzenlendiGörseller GPT Image 2 ile oluşturuldu
Research answer
Key takeaways
- PHP2Shell, kimlik doğrulaması olmadan etkilenen bir sunucuda uzaktan kod çalıştırılmasına yol açabilecek iki PHP açığını kapsıyor; ikisi de CVSS 4.0’da 9,2 puan aldı.
- Açıkların CVE numaraları planlanan duyurudan önce ortaya çıkınca PHP, yamaları 21 Ekim 2026’da yayımladı.
- Güvenlik şirketleri saldırı girişimleri gözlemledi; bu bulgular, girişimlerin tümünün başarılı olduğu veya geniş çaplı ihlal yaşandığı anlamına gelmiyor.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell, PHP’deki iki kritik güvenlik açığı için kullanılan ortak ad: CVE-2026-109618 ve CVE-2026-109619. Her iki açık da CVSS 4.0 ölçeğinde 9,2 puan aldı. Etkilenen sunucularda saldırganların kimlik doğrulaması yapmadan uzaktan kod çalıştırmasına imkân verebilirler. PHP, ayrıntıların planlanan duyurudan önce ortaya çıkmasının ardından düzeltmeleri 21 Ekim 2026’da yayımladı. Kısa süre içinde saldırı girişimleri de raporlandı; ancak bir girişimin gözlemlenmesi, başarılı bir ihlalin kanıtı değil. 1
3
14
PHP2Shell açıkları ne yapıyor?
Sorun, belirli bir web sitesi altyapısından ya da uygulamanın kendi kodundan ziyade PHP’nin istekleri işleme ve belleği yönetme biçiminde. CVE-2026-109618, bellek yetersizliği durumunun ele alınmasıyla; CVE-2026-109619 ise güncelliğini yitirmiş dahili durum bilgisiyle ilgili. Bildirilen temel risk, kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma. 1
14
Bu nedenle bir uygulamanın kendi kodunda bilinen bir açık bulunmaması tek başına yeterli güvence değil: kullanılan PHP sürümü de önemli. Operasyonel güvenlik rehberinde, web isteklerine yanıt veren PHP kurulumlarının kontrol edilmesi gereken sistemler arasında olduğu belirtiliyor. 55
Hangi PHP sürümleri yamalı?
PHP, düzeltilmiş sürümleri 21 Ekim 2026’da yayımladı. Güvenli sürümler şunlar: 14
55
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Bu dallardaki daha eski sürümleri kullanan sistemlerin ilgili yamalı sürüme güncellenmesi gerekiyor. Ayrıntıların planlanan açıklamadan önce sızması, yamaların öne alınmasına yol açtı. 3
13
33
Açıkların kimlik numaraları nasıl ortaya çıktı?
20 Ekim’de Hacker News’te yayımlanan bir gönderi, iki açığı CVE numaralarıyla anıyor ve ayrıntıların 22 Ekim’de açıklanmasının beklendiğini söylüyordu. Gönderi kaldırıldı; ancak ekran görüntüleri internette yayıldı. Güvenlik araştırmacıları daha sonra sızan bilgilerin gerçek olduğunu ve açıkların açıklama ambargosu altında bulunduğunu bildirdi. 3
Haberlerde, Calif’in açıkları bir OpenAI modeli yardımıyla tespit ettiği aktarılıyor. Wiz’in de açıkları bağımsız olarak bulup bildirdiği, koordineli müdahaleye ilişkin haberlerde yer aldı. Ancak mevcut haberler, açıkların yaklaşık 20 yıldır var olduğunu kanıtlamıyor; ayrıca her bir CVE’nin hangi araştırma ekibince bulunduğunu belirleyecek ayrıntıyı sunmuyor. 27
33
Önlem amaçlı kapatılan hizmetler ve resmî uyarılar
Bazı kuruluşlar riski ele alırken tedbir amacıyla hizmetlerini geçici olarak devre dışı bıraktı. Haberlerde Japonya Maliye Bakanlığı’yla ilişkili hizmetler, ABD merkezli BambooHR, Rotterdam Limanı ve Wikimedia adı geçti. Bir hizmetin önlem amacıyla kapatılması, o kuruluşun siber saldırıya uğradığını tek başına göstermez. 19
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), PHP tabanlı web sitelerini işleten kuruluşlara yamaları derhâl uygulama çağrısı yaptı. 33 Sağlanan haberler, önlem amacıyla kapatılan hizmetlerin toplam sayısını kesin olarak ortaya koymuyor; hastane, okul ve kamu hizmetlerine ilişkin her iddiayı da doğrulamıyor.
Saldırı girişimleri ne gösteriyor, neyi göstermiyor?
Raporlar, hem açıkların kamuya duyurulmasından önce hem de sonrasında girişimler gözlemlendiğini aktarıyor:
- Amazon, MadPot adlı tuzak sisteminin 17 Ekim’de bir istismar girişimi tespit ettiğini bildirdi. Bu, söz konusu sensöre yönelmiş bir girişimin kanıtı; başka sistemlerin başarıyla ele geçirildiğinin değil.
50
58
- Cloudflare, duyurudan önceki 10 saat içinde ağında binlerce girişim, duyurudan sonra ise milyonlarca girişim gözlemlediğini açıkladı. Bu rakamlar izlenen girişimleri ifade ediyor; başarıyla ele geçirilen sunucuların sayısını değil.
36
- CISA, kendi uyarısını yayımladığı sırada istismar gözlemlemediğini söyledi. Bu açıklama, o andaki gözlemlerini yansıtıyor; başka telemetri kaynaklarını kullanan güvenlik şirketlerinin bildirdiği girişimleri geçersiz kılmıyor.
- Sophos, müşterilerinin ortamlarında başarılı istismar gerçekleştiğine dair önceki değerlendirmesini düzeltti. Şirket, telemetrisinde tarama ve az sayıda başarısız girişim gördüğünü; güncelleme anı itibarıyla kendi ortamlarında başarılı ihlale dair kanıt bulunmadığını belirtti.
7
Bu bulgular PHP2Shell’in acil ele alınması gerektiğini gösteriyor: olası etkisi ağır ve girişimler gözlemlenmiş durumda. Ancak bildirilen her girişimin başarılı olduğunu ya da toplamda kaç sistemin ele geçirildiğini kanıtlamıyorlar.
Mevcut kanıtların sınırları
Sağlanan haberler, internete açık ve savunmasız sunucuların güvenilir bir toplam sayısını vermiyor; açıkların yaklaşık 20 yıldır var olduğunu da doğrulamıyor. Saldırganların PHP2Shell için istismar yöntemi geliştirmek üzere yapay zekâ kullandığına dair kanıt da sunulmuyor. Yapay zekâ desteği, açıkların araştırmacılar tarafından keşfedilmesi bağlamında haberleştirildi; bu, saldırganların açıkları nasıl bulduğu veya silahlandırdığına ilişkin kanıtla aynı şey değil. 27
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: PHP’deki kritik açıklar, yamalar ve saldırı girişimleri"?
PHP2Shell, kimlik doğrulaması olmadan etkilenen bir sunucuda uzaktan kod çalıştırılmasına yol açabilecek iki PHP açığını kapsıyor; ikisi de CVSS 4.0’da 9,2 puan aldı.
What are the key points to validate first?
PHP2Shell, kimlik doğrulaması olmadan etkilenen bir sunucuda uzaktan kod çalıştırılmasına yol açabilecek iki PHP açığını kapsıyor; ikisi de CVSS 4.0’da 9,2 puan aldı. Açıkların CVE numaraları planlanan duyurudan önce ortaya çıkınca PHP, yamaları 21 Ekim 2026’da yayımladı.
What should I do next in practice?
Güvenlik şirketleri saldırı girişimleri gözlemledi; bu bulgular, girişimlerin tümünün başarılı olduğu veya geniş çaplı ihlal yaşandığı anlamına gelmiyor.