PHP programlama dilinde kimlik doğrulama gerektirmeyen uzaktan kod yürütme (RCE) yeteneğine sahip ciddi bir güvenlik açığı tespit edildi ve bu açığın istismine yönelik saldırılar gözlemlenmeye başlandı

PHP Güvenlik Takımü, 21 Ekim 2026 tarihinde yayınladığı güncelleştirme ile iki kritik güvenlik açığını (CVE-2026-109618 ve CVE-2026-109619) giderdi. Bu açıklar ayrıca "PHP2Shell" takma adıyla da bilinmektedir. PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri bu güncelleştirme kapsamında yayınlanmıştır. Wiz güvenlik firması, WordPress, Drupal ve Joomla platformlarında kimlik doğrulama olmadan kod yürütmenin mümkün olduğunu kanıtladığını açıklamıştır.

PHP 5.4 ve üzeri tüm sürümlerin bu güvenlik açığından etkilendiği belirtilirken, istismar edilmesi durumunda bilgi çalınması veya istenilen kodun çalıştırılmasına neden olabileceği uyarısında bulunulmuştur. Güvenlik uzmanları, etkilenen sistemlerin en kısa sürede güncelleştirilmesini önerir. PHP Güvenlik Takımü, temel çözümün yalnızca güncelleştirme yapmak olduğunu vurgularken, etkiyi azaltmaya yönelik geçici önlemler de sunulduğunu ifade etmiştir.