Güvenlik · 29 Ekim 2026
PHP2Shell zayıflığının kötüye kullanıldığı bildirildi, ABD makamları uyarıda bulundu
Programlama dili PHP'de tespit edilen PHP2Shell zayıflığının kötüye kullanıldığı doğrulandı ve ABD makamları dikkat çekti.
ABD Siber Güvenlik Altyapı Güvenliği Dairesi (CISA), yerel saatle 2026 yılının 26 Ekim'inde, CVE-2026-109618 ve CVE-2026-109619 zayıflıklarını kötüye kullanımın tespit edildiği zayıflık kataloğuna (KEV) kaydetti.
Bu zayıflıklar PHP2Shell olarak da adlandırılmakta ve kimlik doğrulaması gerektirmeksizin uzaktan kod çalıştırma riski taşımaktadır. CVE-2026-109618, bellek yetersizliği sırasında işleme; CVE-2026-109619 ise serbest bırakılmış belleğe ilişkin iç durum yönetimine bağlıdır. Özellikle web siteleri gibi dışardan gelen istekleri işleyen PHP ortamlarında riskin yüksek olduğu belirtilmektedir.
PHP geliştirme ekibi, aynı ayın 21'inde PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayınlayarak zayıflığı düzeltmiştir. Destek süresi dolmuş olan PHP 7.4, 8.0 ve 8.1 için de kaynak koduna uygulanmak üzere düzeltmeler sağlanmıştır. Bazı Linux dağıtımlarında ise geri taşıma işlemleri yapılmaktadır.
CISA, ABD idari organlarının bu zayıflıklarla ilgili müdahale süresini yerel saatle 29 Ekim olarak belirlemiştir. Zayıflığın ortadan kaldırılmasının yanı sıra, ihlalin varlığının da kontrol edilmesi talep edilmektedir.