21 Ekim’de duyurduğumuz ve PHP’de oturum açmadan uzaktan kod çalıştırmaya imkân verebilen PHP2Shell açıklarında (CVE-2026-109618 ve CVE-2026-109619) tablo değişti. Amazon’un tehdit istihbaratı ekibi, açığa yönelik ilk istismar girişimini 17 Ekim 2026’da, yani yamalar yayımlanmadan dört gün önce tuzak sistemlerinde (honeypot) tespit ettiğini açıkladı. Ardından birçok güvenlik şirketi internette yaygın tarama ve saldırı girişimleri raporladı.
İyi haber şu: Şu ana kadar gerçek bir sistemde başarılı bir sızma doğrulanmış değil. Kötü haber ise şu: Açıklar kamuoyunun gündemine girmeden önce bile hedef alınmış olabilir. Bu da “güncelledim, bitti” rahatlığının yeterli olmadığı anlamına geliyor.
Ne değişti? Kısa zaman çizelgesi
- 17 Ekim: Amazon’un MadPot adlı tuzak ağında, ticari bir anonimleştirme ağına bağlı bir IP adresinden ilk PHP2Shell istismar girişimi kaydedildi. Açıklar o tarihte hâlâ gizlilik (ambargo) altındaydı; saldırganın bilgiye nasıl ulaştığı bilinmiyor.
- 20 Ekim: CVE numaraları, daha sonra silinen bir forum gönderisiyle yayımdan bir gün önce sızdı. Bu sızıntı, kavram kanıtı (PoC) kodlarının dolaşıma girmesini hızlandırdı.
- 21 Ekim: Amazon, yamalar yayımlanmadan saatler önce birden fazla PoC ve farklı altyapılardan gelen yeni girişimler gördü. PHP ekibi aynı gün yamalı sürümleri yayımladı. watchTowr da kendi tuzak ağında istismar girişimlerini bu tarihten itibaren gözlemlediğini duyurdu.
- 22 Ekim: Sophos, müşteri ortamlarında tarama ve az sayıda başarısız istismar girişimi tespit etti. Engellenen saldırılardan birinde, Mirai türevi “Potassium” adlı bir botnet yazılımının indirilmeye çalışıldığı görüldü. Sophos, aynı gün başarılı istismar gördüğü yönündeki ilk değerlendirmesini düzelterek başarılı bir sızma kanıtı olmadığını açıkladı.
- 23 Ekim itibarıyla: ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA’nın “bilinen istismar edilen açıklar” (KEV) kataloğunda iki açık da henüz yer almıyor (katalog sürümü 2026.10.23).
Saldırılar ne kadar tehlikeli?
Uzmanların değerlendirmeleri iki yönlü. Amazon, PHP2Shell’in “internette yaygın istismar girişimleriyle” karşı karşıya olduğunu ve girişimlerin birden fazla saldırgandan geldiğini belirtiyor. Öte yandan Sophos, güvenilir çalışan bir istismar kodu geliştirmenin kolay olmadığını, kendi ekibinin yapay zekâ desteğiyle bile zorlandığını aktarıyor. Açığın CVSS puanında da saldırının “yüksek karmaşıklık” gerektirdiği ve belirli koşullara bağlı olduğu not ediliyor.
Ancak bu bir “her şey yolunda” işareti değil. Güvenlik şirketi CovertSwarm, PHP 8.5.11 ve Apache/mod_php çalışan bir test ortamında, bellek adres rastgeleleştirmesi (ASLR) açıkken ve hata mesajları gizliyken kimlik doğrulaması olmadan kod çalıştırmayı başardığını, bir WordPress test ortamında da kod çalıştırdığını açıkladı. Aynı istekler yamalı 8.5.12’de sonuç vermedi. Datadog Security Labs ise saldırının uygulama kodu çalışmadan önce gerçekleştiğini, bu yüzden uygulama içi giriş kontrollerinin saldırıyı durduramayacağını vurguluyor.
Yapay zekâ, yama ile saldırı arasındaki süreyi kısaltıyor
Amazon’un değerlendirmesindeki en dikkat çekici nokta, bu olayın tek bir açıktan daha büyük bir dersi olması. Şirkete göre yapay zekâ destekli analiz, bir yamanın farkını ya da bir güvenlik duyurusunu çalışan bir saldırı koduna dönüştürmeyi ucuzlatıyor; böylece daha fazla saldırgan, ayrıntılar açıklandıktan sonraki saatler, hatta dakikalar içinde harekete geçebiliyor. Amazon, internete açık sistemlerdeki kritik açıklarda yama sürelerinin artık gün değil saat cinsinden ölçülmesi gerektiğini söylüyor.
Ne yapmalısınız?
- Hemen yamalı sürüme geçin: PHP 8.5 için 8.5.12, 8.4 için 8.4.27, 8.3 için 8.3.36, 8.2 için 8.2.35. Güncelleme, iki açığı da tamamen kapatan tek yol.
- Eski sürümler: PHP 8.1 ve öncesi için resmî sürüm yok; PHP güvenlik ekibi 7.4, 8.0 ve 8.1 için yalnızca kaynak kod düzeyinde yamalar paylaştı. Dağıtımınızın ya da sağlayıcınızın yamalı paketini kontrol edin; en doğrusu desteklenen bir sürüme geçmek. CISA, hemen yamalanamayan sistemlerin yamalanana kadar çevrim dışı alınmasını öneriyor.
- Linux paketlerinde sürüm numarasına aldanmayın: Ubuntu, AlmaLinux, RHEL, Remi ve Ondřej Surý depoları düzeltmeleri yayımladı; resmî Docker php imajları da yeniden oluşturuldu. Belirleyici olan dağıtımın güvenlik bülteni.
- Süreçleri yeniden başlatın ve doğrulayın: PHP-FPM ve Apache’yi yeniden başlatın, konteyner imajlarını yeniden oluşturun; trafiğe gerçekten yamalı sürümün yanıt verdiğini kontrol edin.
- Logları 17 Ekim’den itibaren inceleyin: Amazon, incelemenin açıklama tarihinden değil, bilinen ilk girişim tarihi olan 17 Ekim’den başlatılmasını öneriyor. Form yüklemelerinde PHP_SESSION_UPLOAD_PROGRESS içeren POST isteklerine, büyük form gönderimlerine, istek başında bellek tükenmesi (memory exhausted) hatalarına, PHP süreçlerinin kabuk açmasına ya da dosya indirmesine ve beklenmedik dosya değişikliklerine bakın.
- Geçici önlemlere güvenip beklemeyin: session.upload_progress.enabled=0 gibi ayarlar ya da web uygulama güvenlik duvarı bazı saldırı yollarını daraltabilir, ancak tam koruma sağlamıyor.
- Paylaşımlı hosting kullanıyorsanız: Panelinizde PHP sürümünüzü kontrol edin ve sağlayıcınızdan yamanın uygulandığına dair yazılı teyit isteyin.
Türkiye’deki site sahipleri için ne anlama geliyor?
WordPress siteleri, e-ticaret mağazaları, okul ve belediye portalları gibi PHP ile çalışan sistemler Türkiye’de de çok yaygın. Saldırganların açığı herkesten önce denemeye başlamış olması, güncellemeyi geçen hafta sonuna kadar yapmamış her sistemin en az birkaç gün boyunca açık kaldığı anlamına geliyor. Bu nedenle yalnızca güncellemek değil, geriye dönük kontrol yapmak da gerekiyor.
Dijital okuryazarlık açısından: “Henüz başarılı saldırı yok” ne demek?
Bu tür haberlerde iki uç tepki sık görülüyor: Panik ya da rahatlama. “Başarılı sızma doğrulanmadı” ifadesi, sızma olmadığı anlamına gelmiyor; yalnızca şu ana kadar kanıtlanmadığını söylüyor. Bir güvenlik şirketinin değerlendirmesini aynı gün düzeltmesi de bilginin ne kadar hızlı değiştiğini gösteriyor. Sağlıklı yaklaşım, kaynakların tarihine bakmak, birden fazla bağımsız raporu karşılaştırmak ve belirsizlik varken en güvenli adımı, yani güncellemeyi ertelememek.
Kaynak: Amazon Threat Intelligence, Sophos, watchTowr, Datadog Security Labs, CovertSwarm, CISA
