Censys verilerine göre Türkiye’de taranan PHP hizmetlerinin yüzde 92,9’u PHP2Shell açıklarından etkilenmiş olabilecek sürümlerde çalışıyor. Bu oran, ülkedeki tüm sunucuların veya web sitelerinin kesin olarak savunmasız olduğu anlamına gelmiyor; ölçüm, taramalarda bildirilen sürüm bilgilerine dayanıyor.
Milyonlarca hizmet yamalı sürüme geçti
Censys, 21 Ekim’den bu yana 7 milyon 943 bin 892 hizmetin düzeltme içeren bir sürümle görüntülendiğini belirledi. Bu kayıtların 7 milyon 241 bin 171’i son 24 saatte yamalı sürüm kullanıyordu. Sayılar sunucu ya da kurum adedini değil, ayrı ayrı kaydedilen hizmetleri ifade ediyor; tek bir sunucu birden fazla web sitesine ev sahipliği yapabiliyor.
Şirket, tespit ettiği PHP hizmetlerinin tamamının sürüm bilgisini açıklamadığını da bildiriyor. Bu nedenle gerçek etki alanı, Censys’in gözlemleyebildiği kayıtların ötesine geçebilir.
Türkiye için bildirilen oran yüzde 92,9
Censys’in sınıflandırması, taramalarda görülen PHP sürümlerini temel alıyor. Öte yandan Linux dağıtımları güvenlik yamalarını sürüm numarasını değiştirmeden geriye dönük uygulayabiliyor. Bu sebeple güncel düzeltmeleri almış bazı sistemler de etkilenen sürüm olarak listelenebilir. Veriler, doğrulanmış açık taşıyan sistemlerin kesin sayısı değil, mevcut tabloya ilişkin bir tahmin niteliğinde.
PHP2Shell açıkları ve saldırı girişimleri
PHP2Shell adıyla anılan sorun, CVE-2026-109618 ve CVE-2026-109619 numaralarıyla takip edilen iki kritik açıktan oluşuyor. PHP’nin bellek yönetimindeki hatalardan kaynaklanan açıklar, uygun koşullarda kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına imkan verebiliyor. Bu durum, etkilenen sunuculardaki dosya ve veritabanlarına erişim riski doğuruyor. İki açığa da 10 üzerinden 9,2 önem derecesi verildi.
Açıklar, OpenAI’ın Patch the Planet girişimi çerçevesinde Calif ve Wiz araştırmacılarının katkısıyla bulundu. Araştırmacılar, yapay zeka destekli araçlardan yararlanarak PHP’de uzun süredir fark edilmemiş sorunları ortaya çıkardı. Açıklar 21 Ekim 2026’da kamuoyuna duyuruldu; PHP ekibi aynı dönemde güvenlik düzeltmelerini içeren sürümleri yayımladı.
Saldırı denemelerine ilişkin bildirimler duyurudan önce geldi. AWS, 17 Ekim’de bir honeypot sisteminde anonim bir IP adresinden gelen istismar girişimini tespit ettiğini açıkladı. Cloudflare da duyuru öncesinde başlayan ve açıklamanın ardından hızla çoğalan girişimler gözlemledi. Bu gelişmeler, sistem yöneticilerinin güvenlik güncellemelerini geciktirmemesi gerektiğine işaret ediyor.
Güncel PHP sürümleri yayımlandı
PHP ekibi açıkları gidermek amacıyla PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerini kullanıma sundu. PHP 8.1 ve daha eski sürüm dalları için resmi güvenlik güncellemesi bulunmuyor. Bu sürümleri çalıştıran sistemlerin desteklenen bir PHP sürümüne geçirilmesi gerekiyor.
