CVE-2026-109618 ve CVE-2026-109619 numaralı PHP açıkları, kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına izin veriyor; yamalar 21 Ekim'de yayımlandı ve federal kurumların 29 Ekim'e kadar uygulaması gerekiyor.
Web sitelerinin yaklaşık yüzde 71'ini çalıştıran PHP'de uzaktan kod çalıştırmaya izin veren açıklar bulundu; site sahipleri hemen yama yapmak ya da siteleri kapatmak zorunda kalabilir.
Saldırganlar iki saat içinde şifre özetlerini ve MFA sırlarını ele geçirdi, ardından Active Directory'de Domain Admin yetkisine ulaşmaya çalıştı.
Cloudflare, PHP2Shell olarak bilinen açıklara yönelik saldırı girişimlerinin yayımlanmasından saatler içinde milyonlara ulaştığını bildirdi; PHP Foundation ise bugüne kadar başarılı bir istismar görmediğini söylüyor.
CVE-2026-115560 için henüz yama yok; yöneticiler şimdilik session.upload_progress.enabled ayarını kapatmaya çağrılıyor. Aynı hafta yamalanan PHP2Shell açıklarına karşı ise birkaç güvenlik firması engellenmiş saldırı girişimleri bildirdi.
Aynı anda ortaya çıkan iki ciddi web güvenlik açığı, PHP tabanlı siteleri çalıştıran yöneticileri yamaları hızla uygulamaya itiyor.