PHP2Shell: iki kritik PHP açığı ve yapılacaklar

Ne yayımlandı, neden harekete geçilmeli

22 Ekim 2026 itibarıyla. PHP 21 Ekim’de PHP2Shell denilen CVE-2026-109618 ve CVE-2026-109619 için güvenlik güncellemesi yayımladı. Sorun yalnızca CMS eklentisinde değil, web isteklerini işleyen PHP motorunda. Sömürü, hassas sunucuda kimlik doğrulamadan kod çalıştırmaya izin verebilir. Acil işlem gerekir fakat belirli sitenin zaten ele geçirildiğini kanıtlamaz.

Resmi duyuru PHP-FPM, Apache mod_php, php-cgi, FrankenPHP veLiteSpeed'i içerir. PHPmod_php riskini en yüksek sayar ve uygulama kodundan önce gösterilmiş saldırıyı belgeler. Küçük site, giriş formunun yokluğu veya güncel eklentiler yeterli değildir. Gerçek webPHP'sini ve düzeltmesini belirleyin. Maruziyet sürüm, sağlayıcı ve yapılandırmaya bağlıdır; yazı tek sunucu durumunu teşhis etmez.

İki hata ve düzeltilmiş sürümler

CVE-2026-109618 bellek yetersizliği işlenirken bozulmayla ilgilidir. CVE-2026-109619 iç durumun belleği serbest kaldıktan sonra yaşaması ve aynı çalışanın sonraki isteğinde kullanılabilmesidir. PHP Foundation nedenleri ve düzeltmeyi açıklar. Bunları ayırmak evrensel ayar tarifine indirgemeyi önler. Güncelleme kararı için saldırı üretmek gerekmez; kamu hizmetine sömürü testi veya kasıtlı hata komutu vermiyoruz.

21 Ekim düzeltmeleri 8.5.12,8.4.27,8.3.36 ve 8.2.35'tir. İşlem öncesi sonraki revizyonlar için güncel duyuruyu kontrol edin. Dağıtımlar farklı temel numaraya yama taşıyabilir; UbuntuUSN-8948-1 paketleri listeler. Yalnız yorumlayıcı metnini değil paket ve sağlayıcı duyurusunu karşılaştırın. PHP 8.1 ve eskiler proje desteği dışındadır; dağıtıcı yaması üst proje desteğini yeniden başlatmaz.

CVE-2026-109618 / CVE-2026-109619
PHP 8.2.35 | 8.3.36 | 8.4.27 | 8.5.12

Barındırmaya sorulacaklar ve yönetici doğrulaması

Yönetilen hizmette ikiCVE, kurulu paket, etkilenen servis ve aktif süreç düzeltmesi için onay isteyin. Yalnız konsolu değil alan adları, havuzlar, konteynerler ve PHP içeren ürünleri kapsayın. Komut satırı sürümü web sürümü olmayabilir. Yönetici olarak belgeli sağlayıcı/dağıtım kanalını kullanın, kurtarma erişimi ve uygun yedek bulundurun. Doğrulanmamış mesaj veya depolardan sözde yama indirmeyin.

Kurulum sonrası süreçleri sağlayıcıya göre yenileyip çalışan sürümü doğrulayın. Temel işlevleri deneyin, zamanı kaydedin. CMS güncellemek veya önbellek boşaltmak runtime yaması değildir. Sızma belirtisinde kanıtı koruyup olay müdahalesini başlatın: yama saldırganın önceki değişikliğini geri almaz. Bunlar operasyon kapanış kontrolleridir, uzaktan teşhis değil. Açılan ana sayfa teknik onay ve işlev doğrulamasını hâlâ gerektirir.

Hemen güncelleyemiyorsanız ve WikiURL sınırları

PHP yalnız güncellemenin tam çözüm olduğunu vurgular. Geçici önlemler belirli yolları azaltır, kurulumu güvenli yapmaz. Etkisini anlamadan bellek veya oturum ayarı kopyalamayın. ENISA açık sistemlere öncelik ve gerekiyorsa kamu ağından izolasyon önerir. Yöneticiyle güvenli yönetim erişimini ve kesinti bildirimini koordine edin. WAF kuralı veya çalışan uygulama yama yerine geçmez, bütüncül koruma garantilemez.

WikiURL bakım sonrası açık hedef veHTTP yanıtını inceler; gerçekPHP sürümü veyaCVE düzeltmesini onaylamaz.200 veyaHTTPS kilidi açık analizi değildir. Sır göndermeyin, kanıt içinphpinfo yayımlamayın. Sağlayıcı onayı, süreç doğrulaması ve servis testlerini ayrı saklayın. Acil güncelleme ve doğrulanmış sonuç gerekir; kanıtsız ihlal iddiası veya açılan sayfadan sahte güven değil. Yazı herhangi bir kuruluma düzeltilmiş sertifikası vermez.