PHP'deki iki kritik açık, internete bağlı sunucuları kimlik bilgisi olmadan ele geçirilebilir hale getirdi

PHP2Shell olarak anılan iki uzaktan kod çalıştırma açığı, web sitelerinin yaklaşık yüzde 70'ini destekleyen PHP için 21 Ekim'de yama ile kapatıldı; ancak Perplexity araştırmacıları yamalanmamış bir kurulumda saldırının gerçekleştiğini doğruladı.

PHP'deki iki uzaktan kod çalıştırma açığı, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla izleniyor ve PHP2Shell adıyla anılıyor. Bu açıklardan yararlanan bir saldırgan, yamalanmamış bir PHP sunucusunu internet üzerinden kimlik bilgisi olmadan ele geçirebiliyor. PHP, internetteki web sitelerinin yaklaşık yüzde 70'ini çalıştırdığı için açıklar WordPress, Drupal, Joomla ve MediaWiki gibi platformlara kadar ulaştı.

PHP Foundation yamaları 21 Ekim'de yayımladı. Yamalar çıkmadan önce büyük şirketlere ve barındırma sağlayıcılarına ambargolu bir erken erişim tanındı ve bazı kuruluşlar sunucularını çevrimdışı alarak yamayı uyguladı. Perplexity araştırmacıları ise yamalanmamış bir Apache mod_php kurulumunda, PHP 8.4.26 çalışırken, saldırının gerçekten gerçekleştiğini doğruladı. Yük gönderildikten kısa süre sonra bir kabuk komutu çalıştırıldı.

Ayrıca bu olaydan bağımsız olarak, henüz yamalanmamış ayrı bir açık daha duyuruldu: CVE-2026-115560. Geçici önlem olarak session.upload_progress.enabled ayarının 0 yapılması öneriliyor.