CISA, PHP2Shell Zafiyetlerinin Aktif Olarak Sömürüldüğünü Doğruladı

ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), internet dünyasında geniş yankı uyandıran PHP2Shell zafiyetlerinin artık teorik bir risk olmaktan çıktığını duyurdu. Ajans, CVE-2026-109618 ve CVE-2026-109619 kodlu iki kritik açığın sahada aktif olarak sömürüldüğünü teyit ederek, bu zafiyetleri Known Exploited Vulnerabilities (KEV) kataloğuna dahil etti. Federal sivil kurumların, söz konusu açıkları kapatmak için 29 Ekim tarihine kadar süresi bulunuyor.

CVSS ölçeğinde 9.2 puanla kritik seviyede derecelendirilen bu açıklar, kimlik doğrulaması gerektirmeksizin savunmasız PHP sunucularında kod çalıştırılmasına imkan tanıyor. Güvenlik araştırmacıları, saldırganların sadece sistemleri taramakla kalmayıp, başarılı bir şekilde shell erişimi elde ettiğini belirtiyor. Perplexity araştırmacısı Adel Karimi tarafından yürütülen çalışmalarda, PHP 8.4.26 çalıştıran honeypot sistemlerinde 35 başarılı shell yürütme vakası kaydedildi. Saldırganların bu süreçte bellek tükenmesi ve bilgi ifşası yöntemlerini kullanarak uzaktan kod yürütme (RCE) gerçekleştirdiği gözlemlendi.

İlginizi çekebilir · Siber GüvenlikBatılı Hükümetler Neden Acil Durum Hazırlıklarını Artırıyor

Delft Üniversitesi Tehdit İstihbarat Laboratuvarı'nın verileri ise saldırıların boyutunu gözler önüne seriyor. 70 farklı ülkeden 600'den fazla IP adresi üzerinden 50 binden fazla sömürü girişimi tespit edildi. Bunların 171'i, basit tarama aşamasını geçerek doğrudan exploit kodu veya zararlı yazılım dağıtıcıları göndermeye başladı. AWS ise bu zafiyetlerin, resmi duyurudan dört gün önce, 17 Ekim tarihinde hedef alındığını raporladı.

Sistem yöneticilerinin, kullandıkları PHP sürümüne bağlı olarak 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümlerine acilen geçiş yapmaları öneriliyor. CISA, federal kurumlar dışındaki özel sektör kuruluşlarının da bu yamaları önceliklendirmesi gerektiğini vurguluyor.