PHP’de kimlik doğrulama gerektirmeden uzaktan kod çalıştırmaya (RCE) yol açan iki güvenlik açığı bulundu. Açıklar, PHP ile yazılmış her uygulamayı etkiliyor — framework fark etmiyor.
İkiliye CVE-2026-109618 ve CVE-2026-109619 kimlikleri verildi. Güvenlik camiası ise onlara daha akılda kalıcı bir isim buldu: php2shell.
Ubuntu, desteklenen tüm sürümler için yamaları yayınladı bile.
php2shell Nedir?
php2shell, PHP çalışma zamanındaki iki ayrı açığın ortak adı. Her ikisi de saldırgana kimlik doğrulama olmadan hedef sunucuda keyfi kod çalıştırma imkanı veriyor.
İnternete açık bir web uygulaması için bu ciddi bir tehdit demek. Saldırgan açığı başarıyla kullandığında sunucuda komut çalıştırabiliyor. Sonuç, veri sızıntısından sunucunun tamamen ele geçirilmesine kadar uzanabiliyor.
Neden Önemli?
PHP, web’deki içerik yönetim sistemlerinin ve uygulamaların büyük kısmının altyapısını oluşturuyor. WordPress, Drupal, pek çok Laravel tabanlı proje — hepsi PHP çalışma zamanına bağımlı. Bu yüzden runtime’daki bir RCE açığı tek bir uygulamayla sınırlı kalmıyor; PHP üzerine kurulu her sistemi potansiyel olarak etkiliyor.
Kimlik doğrulama gerekmemesi, saldırının önündeki en büyük engeli kaldırıyor. Saldırganın geçerli bir hesaba ya da oturum bilgisine ihtiyacı yok; açık doğrudan dışarıdan tetiklenebiliyor.
Ubuntu Kullanıcıları Ne Yapmalı?
Ubuntu, desteklenen tüm sürümler için PHP paketlerine güvenlik güncellemesi yayınladı. Sisteminizde PHP çalışıyorsa güncellemeleri hemen uygulayın.
Terminalden paket listesini güncelleyip mevcut güncellemeleri yüklemek için:
- sudo apt update komutuyla paket listelerini tazeleyin.
- sudo apt upgrade komutuyla PHP ve bağımlı paketleri güncelleyin.
PHP’yi snap paketi, PPA ya da manuel derleme üzerinden kullanıyorsanız güncellemeyi o kaynaktan da yapın. Sunucuda birden fazla PHP sürümü kuruluysa hepsini tek tek kontrol edin.
Üretim Sunucularında Dikkat Edilmesi Gerekenler
Güncelleme sonrası php-fpm, apache2 ya da nginx gibi ilgili servisleri yeniden başlatmanız gerekebilir. Bu adımı atlarsanız sunucu, paketi güncellemiş olsanız bile eski ve savunmasız PHP sürümüyle çalışmaya devam eder.
Açık kimlik doğrulama gerektirmiyor. Güncelleme uygulanana kadar gelen trafiği izlemek, mümkünse bir web uygulama güvenlik duvarı (WAF) üzerinden şüpheli istekleri filtrelemek makul bir ara önlem.
Kimlik doğrulama gerektirmeyen RCE açıkları, duyurulduktan kısa süre sonra aktif istismar edilmeye başlanıyor. Sisteminizdeki PHP sürümünü şimdi kontrol edin — güncelleme birkaç dakikanızı alır, atlamanın bedeli çok daha ağır olabilir.