PHP2Shell açıklarının gerçek saldırılarda kullanıldığı doğrulandı

BleepingComputer’ın aktardığı bulgulara göre, PHP2Shell adı altında birlikte izlenen iki kritik uzaktan kod yürütme (RCE) açığı gerçek saldırılarda kullanıldı. Açıkların kimlikleri CVE-2026-109618 ve CVE-2026-109619.

Perplexity’de tespit ve müdahale lideri olan Adel Karimi, bal küpü verilerinde PHP 8.4.26 çalıştıran bir Apache mod_php kurulumunda doğrulanmış uzaktan kod yürütme kanıtı buldu. Expel tehdit araştırmacısı Marcus Hutchins, Karimi’nin bulgularını doğruladı ve bunları şimdiye kadar gördüğü en güçlü PHP2Shell istismar doğrulaması olarak nitelendirdi.

PHP güvenlik ekibi yamaları 21 Ekim Çarşamba günü yayımladı. Ekip, yöneticilerden bir gün önce güncellemeleri yüklemeye hazırlanmalarını istemişti. Yayımdan önce araştırmacılar ve siber güvenlik şirketleri tarama, sistem belirleme ve çalışmayan istismar girişimleri bildirmişti. Dataminr’ın Tehdit Araştırma ve Siber Mühendislik ekibi, Karimi’nin bulgularından önce bilinen bir ihlal olmadığını söyledi.

PHP ayrıca CVE-2026-115560 kimlikli, henüz yamalanmamış yeni bir RCE açığını açıkladı. PHP ekibine göre bu açık yalnızca yapılandırma ve uygulama kodunun alışılmadık bir bileşimine sahip sistemleri hedef alarak kullanılabiliyor. Yama yayımlanana kadar yöneticilere session.upload_progress.enabled=0 ayarını yapmaları önerildi.

Haberde aktarılan VirusTotal tahminlerine göre PHP, web sitelerinin yaklaşık %70’inde kullanılıyor; çevrimiçi ortamda 5,1 milyondan fazla PHP ana makinesi açıkta ve yaklaşık 3,8 milyon ana makinede saldırılara açık en az bir bağlantı noktası bulunuyor.