PHP'de Kritik Zafiyetler Sızdırıldı: PHP2Shell Saldırıları Kapıda

PHP ekibi, resmi duyuru ve yamalar öncesinde CVE-2026-109618 ve CVE-2026-109619 kodlu iki kritik zafiyetin teknik detaylarının sızdırıldığını doğruladı. Her ikisi de 9.2 CVSS puanına sahip olan bu açıklar, saldırganların savunmasız sunucularda uzaktan kod yürütmesine (RCE) ve sistem üzerinde kontrol sağlamasına imkan tanıyor. Kamuoyunda PHP2Shell olarak adlandırılan bu zafiyetlerin, PHP 5 sürümünden itibaren tüm sürümleri etkilediği düşünülüyor.

Resmi yamaların 21 Ekim 2026 tarihinde, Türkiye saati ile 17:00 civarında (14:00 UTC) yayınlanması planlanıyor. PHP geliştiricileri, teknik detayların sızması veya aktif sömürü kanıtlarının ortaya çıkması durumunda yamaların daha erken bir tarihte kullanıma sunulabileceğini belirtti. WatchTowr firması, zafiyetlerden birinin bir use-after-free hatası olduğunu doğrularken, şu an için aktif bir sömürü gözlemlenmediğini ancak yama yayınlandığı andan itibaren saldırıların hızla başlayabileceğini vurguladı.

Sistem yöneticilerinin ve PHP kullanıcılarının, yamalar yayınlandığı anda güncellemeleri uygulamak için hazırlık yapmaları tavsiye ediliyor. Güvenlik firmaları, yamaların dağıtılmasından sonraki ilk 15 dakika içinde geniş çaplı tarama ve saldırı girişimlerinin beklendiğini ifade ediyor.

İlginizi çekebilir · Zafiyetler & CVESiteGuard Server Edition'da Kritik Komut Enjeksiyonu Açığı Aktif Olarak Sömürülüyor