CISA, PHP2Shell açıklarının saldırılarda kullanıldığını doğruladı

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), birlikte PHP2Shell olarak izlenen iki kritik PHP açığını Bilinen İstismar Edilen Açıklar Kataloğu'na ekledi. CISA, Binding Operational Directive 26-04 kapsamında Federal Sivil Yürütme Organı kurumlarına sistemlerini perşembe gününe kadar güvenceye alma talimatı verdi.

CVE-2026-109618 ve CVE-2026-109619 numaralı açıklar, ayrıcalığı olmayan saldırganların yamalanmamış sistemlerde uzaktan kod çalıştırmasına olanak tanıyabiliyor. PHP güvenlik ekibi düzeltmeleri 21 Ekim Çarşamba günü yayımladı. Yamalar kullanıma sunulmadan önce ayrıntılar sızdırıldı ve kavram kanıtlama açıkları çevrimiçi yayımlandı; ancak PHP ekibi bunların hiçbirinin çalışmadığını söyledi. Birkaç siber güvenlik şirketi, kamuya açıklanmadan önce istismar girişimleri tespit ettiklerini bildirdi ve bunları başarısız olarak nitelendirdi. Amazon Threat Intelligence araştırmacıları, hedef almanın yamalar yayımlanmadan dört gün önce başladığını söyledi.

Hafta sonu Perplexity'nin tespit ve müdahale lideri Adel Karimi, bal tuzaklarının PHP 8.4.26 çalıştıran bir Apache mod_php kurulumunda uzaktan kod yürütüldüğüne ilişkin kanıt kaydetmesinin ardından gerçek saldırılarda istismarı doğruladı. CISA saldırılar hakkında henüz daha fazla ayrıntı paylaşmadı.

Ayrıca PHP güvenlik ekibi cuma günü, yaması bulunmayan başka bir uzaktan kod çalıştırma açığı olan CVE-2026-115560'ı duyurdu. Açık, yapılandırma ve uygulama kodunun alışılmadık bir bileşimine sahip sistemleri etkiliyor.

VirusTotal'ın tahminlerine göre PHP, web sitelerinin yaklaşık %70'ine güç veriyor. Çevrimiçi olarak 5,1 milyondan fazla PHP ana bilgisayarının açıkta olduğunu, yaklaşık 3,8 milyon örnekte ise saldırılara açık en az bir bağlantı noktası bulunduğunu tahmin ediyor.