---
title: PHP2Shell açıkları saha ortamında aktif olarak istismar ediliyor
url: https://www.dataloco.com/tr/php2shell-aciklari-saha-ortaminda-aktif-olarak-istismar-ediliyor
published: 2026-10-28T13:35:40+00:00
language: tr
section: Güvenlik
source: https://www.bleepingcomputer.com/news/security/php2shell-security-flaws-now-sucessfully-exploited-in-the-wild/
organizations: Perplexity, Expel, CISA, Cloudflare, Hadrian, watchTowr
publisher: Dataloco
---

# PHP2Shell açıkları saha ortamında aktif olarak istismar ediliyor

PHP2Shell olarak bilinen iki kritik uzaktan kod çalıştırma açığı, saha ortamında başarılı bir şekilde istismar edildi. Bu açıklar, CVE-2026-109618 ve CVE-2026-109619 kimlik numaralarıyla takip edilmektedir. İstismarın doğrulanması, Perplexity şirketinde algılama ve müdahale lideri olan Adel Karimi tarafından gerçekleştirilen bal arısı kayıtlarıyla sağlanmıştır. Kayıtlar, PHP 8.4.26 sürümü üzerinde çalışan bir Apache mod_php kurulumuna karşı onaylanmış uzaktan kod çalıştırma kanıtlarını içermektedir.

Karimi, olayın yalnızca bir çöküş ve şüpheli bir süreçle sınırlı olmadığını, kullanılabilir bellek ifşası içeren onaylanmış bir uzaktan kod çalıştırma olduğunu belirtmiştir. Yanıt, 800 KiB boyutunda çözülmüş bir çerez dökümü sunmuş ve bu dökümden türetilen bir fonksiyon adresi, sonraki çalıştırma yükünde görülmüştür. Araştırmacı, bu kanıtların kasıtlı olarak elverişli tek işçi mod_php profili üzerinde zinciri gösterdiğini, ancak diğer işçi sayıları, PHP derlemeleri veya uygulamalar için istismar güvenilirliğinin bir ölçümü olmadığını vurgulamıştır.

Expel tehdit araştırmacısı Marcus Hutchins, Karimi'nin bulgularını doğrulamıştır. Hutchins, bu olayı, saha ortamında PHP2Shell istismarına dair gördüğü en yüksek kalitede onay olarak nitelendirmiş ve PHP 8.4.26 üzerinde çalışan Apache mod_php kurulumuna karşı başarılı bir istismar denemesinin derin teknik analizini övmüştür. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı, Cuma günü PHP2Shell uzaktan kod çalıştırma istismar denemeleri için bir SIGMA algılama kuralı paylaşmış, ancak henüz açıkların saha ortamında istismar edildiğini resmi olarak işaretlememiştir.

PHP güvenlik ekibi, PHP2Shell açıklarını 21 Ekim Çarşamba günü yamalamıştır. Bu yama, yöneticilerin güvenlik güncellemelerini mümkün olan en kısa sürede yüklemeye hazırlanmaları çağrısının bir gün sonrasında gelmiştir. Yama yayına alınmadan önce, açıkların detayları ve bazı kanıt kavramı istismarları sızdırılmış olsa da, PHP güvenlik ekibi bunların işlevsel olmadığını bildirmiştir. Cloudflare, Hadrian, watchTowr, Previdian ve Patchstack dahil olmak üzere birden fazla siber güvenlik şirketi, kamuya açıklanmadan önce istismar denemelerini tespit etmiş, ancak bunların tümünü başarısız olarak işaretlemiştir.

Amazon Tehdit İstihbaratı araştırmacıları, güvenlik yamaları yayınlanmadan dört gün önce saldırganların PHP2Shell açıklarını hedef aldığını fark etmiştir. Dataminr'in TRACE ekibine göre, Karimi'nin bulgularına kadar kötü amaçlı faaliyetler tarama, parmak izi çıkarma ve işlevsiz istismarların kullanımıyla sınırlı kalmış, bilinen bir ihlal yaşanmamıştır. Cuma günü PHP güvenlik ekibi, yaması olmayan ve yalnızca olağandışı bir yapılandırma ve uygulama kodu kombinasyonuna sahip sistemlerde istismar edilebilen yeni bir uzaktan kod çalıştırma açığı için önlemler paylaşmıştır. Yama yayınlanana kadar yöneticilere, olası saldırıları engellemek için session.upload_progress.enabled=0 ayarını yapmaları önerilmiştir.

PHP, internet üzerindeki web sitelerinin yaklaşık yüzde 70'inde kullanılan bir web geliştirme dilidir. Son VirusTotal tahminlerine göre, 5,1 milyondan fazla PHP ana makinesi çevrimiçi olarak açıkta kalmış ve yaklaşık 3,8 milyonunun en az bir portu saldırılara açıktır. Geçerli kimlik bilgilerine sahip saldırganların eylemlerinin yalnızca yüzde 37'si engellenmektedir. 2026 Mavi Raporu, müşteri üretim ortamlarında çalıştırılan 338 milyon simülasyon boyunca savunmaları teknik teknik ölçmektedir.