ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), PHP2Shell olarak adlandırılan CVE-2026-109618 ve CVE-2026-109619 açıklarını 26 Ekim 2026'da Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi. KEV, CISA'nın gerçek ortamda istismar edildiğine dair kanıt bulunan açıkları listelediği katalog. ABD federal sivil kurumlarının bu açıklar için önlem alma süresi 29 Ekim 2026'da doluyor. PHP, iki açığı 21 Ekim 2026'da 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleriyle kapatmıştı.
KEV kararı ne anlama geliyor
Bir açığın KEV'e girmesi, saldırılarda kullanıldığına dair kanıt olduğunu gösterir; kimin, nasıl ve kaç sistemde kullandığını söylemez. CISA bu ayrıntıları ve kararın hangi kanıta dayandığını açıklamadı. KEV kayıtlarında açıkların fidye yazılımı kampanyalarında kullanılıp kullanılmadığı «bilinmiyor» olarak geçiyor. Eklemeyi içeren katalog sürümü 27 Ekim 2026 saat 01:24 TSİ'de yayımlandı.
29 Ekim son tarihi, CISA'nın BOD 26-04 direktifi gereği yalnızca ABD federal sivil kurumlarını bağlıyor; diğer kurumlar için yasal zorunluluk değil, öncelik işareti. KEV kayıtlarındaki gerekli işlem, üreticinin yönergelerine göre önlem almak; önlem yoksa ürünü kullanmayı bırakmak. Kayıtlarda adli inceleme gerektiği de işaretli. CISA, ilk kez 21 Ekim'de yayımladığı PHP uyarısını da 26 Ekim'de KEV eklemesini yansıtacak şekilde güncelledi.
Yamalar ve CISA'nın önerileri
CISA'ya göre iki açık, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya imkân veriyor. İkisi de PHP'nin bellek yönetimindeki hatalardan kaynaklanıyor. ABD Ulusal Güvenlik Açığı Veritabanı'na (NVD) göre CVSS 3.1 puanı CVE-2026-109618 için 9,8 (kritik), CVE-2026-109619 için 8,1 (yüksek).
CISA'ya göre açıklar, web isteğine hizmet veren tüm PHP kurulumlarını etkiliyor: Apache mod_php, PHP-FPM, php-cgi, FrankenPHP ve LiteSpeed. PHP projesine göre en yüksek risk Apache mod_php kurulumlarında. CISA'nın önerileri şöyle:
- PHP çalışan tüm sistemleri envantere almak; PHP başka yazılımların içinde de bulunabilir.
- İnternete açık sunuculardan başlayarak hemen PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümüne yükseltmek.
- Hemen güncellenemeyen ya da desteği bitmiş PHP 8.1 ve eski sürümleri çalıştıran sistemleri, yama yapılana kadar çevrim dışı almak.
- Yama yapılana kadar web uygulama güvenlik duvarından (WAF) yararlanmak; CISA'ya göre WAF yalnızca kısmi koruma sağlar.
- PHP işçi süreçlerinin komut kabuğu açması ya da araç indirmesi gibi şüpheli etkinlikleri izlemek.
Araştırmacının tuzak sunucu bulgusu
KEV eklemesinden önce, Perplexity'de çalışan araştırmacı Adel Karimi 24 Ekim 2026'da bir rapor yayımladı. Karimi'ye göre işlettiği üç tuzak sunucuda (honeypot) web sunucusu süreci toplam 35 kez komut kabuğu açtı; trafik CVE-2026-109618 ile tutarlıydı. Bunlar gerçek kurum sunucuları değil, tuzak sunuculardı.
Karimi, sunucuların bilerek kolaylaştırılmış, tek işçi süreçli Apache mod_php yapılandırması (PHP 8.4.26) olduğunu ve bu sonucun başka kurulumlarda istismarın ne kadar başarılı olacağını göstermediğini belirtti. CVE-2026-109619'un bu sunucularda kullanıldığı gösterilmedi. SecurityWeek'e göre ikinci aşama zararlı yazılım da indirilmedi. Expel'den Marcus Hutchins, bulguyu gerçek ortamda PHP2Shell istismarının şu ana kadar gördüğü «açık ara en kaliteli doğrulaması» olarak niteledi. CISA'nın KEV kararının bu bulguya dayanıp dayanmadığı bilinmiyor.
Türkiye açısından
Siber Güvenlik Başkanlığı (SGB), 21 Ekim 2026'da TR-26-1372 bildirimiyle PHP2Shell için uyarı yayımlamış, ardından ulusal tarama başlatmıştı. e-Devlet Kapısı'ndaki PHP güvenlik incelemesinin tamamlandığı 22 Ekim'de açıklandı. SGB'nin KEV kararına dair yeni bir açıklaması ya da yeni bir PHP bildirimi yok. Türkiye'de başarılı istismar, etkilenen kurum ya da sayı bildirilmedi.
29 Ekim son tarihi yalnızca ABD federal sivil kurumlarını bağlasa da KEV eklemesi, Türkiye'deki kurumlar ve barındırma firmaları için de güçlü bir öncelik işareti. PHP sürümlerinin kontrol edilmesi ve yamalı sürümlere geçilmesi gerekiyor.
Kaynaklar
- CISA — Known Exploited Vulnerabilities Catalog (CVE-2026-109618, CVE-2026-109619), 26 Ekim 2026
- CISA — Critical Vulnerabilities in PHP Require Immediate Patching, güncelleme 26 Ekim 2026
- NIST NVD — CVE-2026-109618
- NIST NVD — CVE-2026-109619
- Adel Karimi (GitHub, honeypot-data) — PHP2Shell exploitation observed: packet-to-process RCE evidence, 24 Ekim 2026
- SecurityWeek — PHP2Shell Exploitation Moves From Probes to Working Shells, 26 Ekim 2026
- BleepingComputer — PHP2Shell security flaws now successfully exploited in the wild, 26 Ekim 2026
Kapak görseli (temsili): veri merkezinde sunucu dolapları koridoru; habere konu sistemlerle ilgisi yoktur — PiDatacenters, Wikimedia Commons, CC BY-SA 4.0 (1200×675 kırpıldı).
