PHP2Shell: Yapay Zeka PHP'nin Kendisinde Açık Buldu. Saldırganlar da Kullanmadan Önce Yapmanız Gerekenler

21 Ekim 2026'da PHP, desteklenen tüm sürümleri için güvenlik güncellemesi yayınladı. Güncellemeler, birlikte PHP2Shell olarak anılan iki kritik açığı kapatıyor: CVE-2026-109618 ve CVE-2026-109619. Açıklar kimlik doğrulaması olmadan uzaktan kod çalıştırmaya yol açabiliyor. Wiz Research'e göre son on yılda yayınlanan her PHP sürümü, PHP 5.4'e kadar geriye gidecek şekilde, bu açıklardan en az birinden etkileniyor.

Açığın kendisi ciddi. Ama asıl hikâye nasıl bulunduğu: Wiz'deki araştırmacılar ve ayrıca OpenAI ile çalışan bir firma, açıkları bulmaktan saldırı zincirini kurmaya kadar işin her aşamasında yapay zeka modelleri kullandı.

Bozuk olan ne?

Bunlar WordPress'te, Drupal'da ya da bir framework'te değil, doğrudan PHP'nin çekirdeğinde bulunan bellek güvenliği hataları. Hepsi aynı yerden çıkıyor: PHP bir isteğin ortasında ölümcül bir hatayla, özellikle bellek tükenmesiyle karşılaştığında bazı iç durumları geride bırakıyor ve aynı worker'daki bir sonraki istek bunları yeniden kullanabiliyor.

Wiz, iki CVE altında birkaç farklı varyant anlatıyor:

• oturum yükleme ilerlemesi (upload progress) işleyişinde ve ölümcül hata backtrace'inde use-after-free hataları,
• uygulama hiç oturum başlatmasa bile, sonraki bir multipart isteğin worker belleğini PHPSESSID çerezinin içinde sızdırabildiği bir bellek ifşası,
• başarısız bir bellek ayırma sonrasında worker'lar arasında oluşan bir OPcache tür karışıklığı.

Wiz bunları birbirine bağlayarak WordPress, Drupal ve Joomla test kurulumlarında kimlik doğrulamasız kod çalıştırmayı başardı. Açık PHP'nin kendisinde olduğu için, etkilenen bir sürümde çalışan çok basit bir uygulama bile risk altında olabiliyor.

Şimdi ne yapmalı?

1. PHP'yi güncelleyin. Düzeltilmiş sürümler: 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. PHP'nin kendi duyurusuna göre tam bir geçici çözüm yok; tek güvenli seçenek güncellemek.
2. Kendi yönetmediğiniz yerleri de kontrol edin. Paylaşımlı hosting, yönetilen WordPress, eski Docker imajları ve unutulmuş test sunucuları kendi PHP sürümlerini çalıştırır. Varsaymayın; sağlayıcınıza sorun ya da imajı kontrol edin.
3. PHP 8.1 ve öncesi için plan yapın. Bu sürümler artık PHP projesinden düzeltme almıyor. Bazı Linux dağıtımları ve sağlayıcılar yamaları geri taşıyor; sizinki taşımıyorsa yükseltmenin tam zamanı.
4. Bugün güncelleyemiyorsanız geçici kalkanları kullanın. Cloudflare, Fastly, Google, Vercel ve diğerleri geçici korumalar yayınladı. Bunlar zaman kazandırır, açığı kapatmaz.
5. Wiz'in listelediği işaretleri izleyin: ardından bellek sınırı hataları gelen olağandışı multipart istekler, art arda gelen HTTP 500 yanıtları, aşırı büyük ya da bozuk PHPSESSID çerezleri ve açıklanamayan worker yeniden başlatmaları.

İki gün sonra bununla bağlantılı ama ayrı bir açık daha duyuruldu: CVE-2026-115560. PHP, bir sonraki hata düzeltme sürümüne kadar session.upload_progress.enabled=0 ayarını öneriyor. Çoğu sitenin bu özelliğe zaten ihtiyacı yok.

Yapay zeka kısmı neden önemli?

Wiz'in zaman çizelgesine göre ilk açık 19 Ağustos'ta bulundu, ertesi gün Drupal'a karşı çalışan uzaktan kod çalıştırma elde edildi ve rapor 24 Ağustos'ta PHP ekibine ulaştı. Wiz, saldırı zincirinin insan araştırmacıların pratikte ulaşabileceği sınırda olduğunu ve yapay zekanın bu tür zincirlerin ne kadar hızlı kurulabildiğini değiştirdiğini söylüyor.

Bu sefer hız savunanların işine yaradı: açıklar koordineli bir süreçle bulundu, raporlandı ve kapatıldı. Ama aynı araçlar herkesin elinde. Canlıda yazılım çalıştıran herkes için bundan iki sonuç çıkıyor:

• Açığın duyurulmasıyla istismar edilmesi arasındaki süre kısalıyor. "Bir sonraki bakım penceresinde güncelleriz" daha yavaş bir dönemin planı. Sadece kütüphanelerin değil, çalışma ortamlarının da (runtime) hızlı bir güncelleme yolu olmalı.
• Eski kod, sadece kimse bakmadığı için artık güvenli değil. PHP'nin çekirdeğinde on yıldan uzun süre duran hatalar, yapay zeka onlara yöneltildiğinde haftalar içinde bulundu. Uzun ömürlü her kod tabanı aynısını beklemeli.

Sıkıcı alışkanlıklar yine kazanıyor

Bunların hiçbiri yeni bir savunma türü gerektirmiyor. Her yerde hangi runtime sürümlerini çalıştırdığınızı bilin. Temel imajları güncel tutun ve sık sık yeniden derleyin. PHP, Java ya da Node güncellemesini bir proje değil, sıradan bir değişiklik haline getirin. Bunu zaten yapan ekipler PHP2Shell haftasını bir sürüm numarasını güncelleyerek geçirecek. Diğerleri sunucu arayarak.

Kaynaklar

• Wiz Research: PHP2Shell, AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
• PHP: release announcements for 8.5.12, 8.4.27, 8.3.36 and 8.2.35 (21 October 2026)
• Fortune: AI helped discover the PHP vulnerability that could take down 70% of the internet
• CNN: Websites shut down globally after AI finds cybersecurity flaw