Cloudflare, PHP açıklarına yönelik milyonlarca saldırı girişimi gözlemledi

Cloudflare (NET), PHP motorundaki iki uzaktan kod çalıştırma açığını hedef alan milyonlarca saldırı girişimi gözlemledi. PHP Vakfı ise şu ana kadar uzaktan kod çalıştırmanın başarıya ulaştığı bir vakayı tespit etmediğini açıkladı. PHP geliştirme ekibi, iki açığı gideren güvenlik güncellemesini 21’inde yayımladı. TokenPost’un daha önce aktardığı yama ve kurum uyarılarının ardından yeni gelişme, Cloudflare’ın gözlemlediği saldırıların ölçeği ve PHP Vakfı’nın başarılı saldırı vakası bulunmadığı yönündeki açıklaması oldu.

PHP geliştirme ekibi, resmi güvenlik duyurusunda CVE-2026-109618 ve CVE-2026-109619 açıklarını CVSS 9.2 ile derecelendirdi ve web isteklerini işleyen PHP kurulumlarının derhal güncellenmesini önerdi. Yamanın yayımlanmasının ardından Avrupa ve Birleşik Krallık’taki güvenlik kurumları, güncellemeyi hemen uygulayamayan sunucuların genel ağdan ayrılmasını veya kapatılmasını tavsiye etti.

Düzeltilmiş sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. PHP 8.1 ve daha eski sürümlere düzenli güvenlik güncellemesi desteği sona erdi. Bununla birlikte PHP geliştirme ekibi, bu açıklar için PHP 8.1, 8.0 ve 7.4’e yönelik sınırlı kaynak kodu geri taşımaları sundu. Dağıtımların veya uzun süreli destek sağlayıcılarının hazırladığı düzeltme paketlerinin de kontrol edilmesi gerekiyor. Ekip, bazı Linux dağıtımlarının ve uzun süreli destek sağlayıcılarının düzeltmeleri ayrıca sunabileceğini belirterek kullanıcıları bu sağlayıcılara danışmaya yönlendirdi.

Wiz güvenlik araştırma ekibi, PHP motorundaki bellek işleme kusurlarının kimlik doğrulaması olmadan sunucuda kod çalıştırmak veya süreç belleğindeki hassas bilgileri açığa çıkarmak için kullanılabileceğini bildirdi. Ekip, WordPress, Drupal ve Joomla ortamlarında uzaktan kod çalıştırmayı gösterdi. Kusurlar belirli içerik yönetim sistemlerinin kendi kodlarında değil PHP motorunda bulunduğundan, risk tek bir platformla sınırlı değil.

Etkilenebilecek alan geniş. Wikipedia’nın temel yazılımı MediaWiki’nin yanı sıra WordPress ve Drupal gibi PHP kullanan platformlar yaygın olarak kullanılıyor. Wiz, PHP’nin tüm web sitelerinin yaklaşık yüzde 70’inde kullanıldığını tahmin ediyor. Ancak bu, bütün sitelerin aynı şekilde açığa çıktığı anlamına gelmiyor; oran Wiz’in hesaplamasına dayanıyor.

Saldırı girişimleri yama yayımlanmadan önce de gözlemlendi. Amazon Tehdit İstihbaratı, kendi tuzak sisteminde 17 Ekim’de PHP2Shell saldırı girişimleri tespit ettiğini açıkladı. Cloudflare CEO’su Matthew Prince, X’te “Kamuya yapılan duyurudan önceki 10 saat içinde ağımızda binlerce saldırı girişimi gözlemledik” dedi. Prince, duyurudan sonraki iki saat içinde sayının yüz binlere çıktığını, ardından milyonlara ulaştığını da belirtti.

Bu rakamlar girişim sayısını gösteriyor; başarılı ihlallerin sayısını değil. PHP Vakfı Genel Sekreteri Elizabeth Barron, The Verge’e “Şu ana kadar uzaktan kod çalıştırmanın başarıya ulaştığı bir girişim tespit etmedik” dedi. Çok sayıda saldırı girişiminin görülmesi, hizmetlerin gerçekten ele geçirildiğini tek başına göstermiyor; her hizmetin durumu ayrıca incelenmeli.

Eski sistemlere yama uygulamak da bir engel oluşturuyor. The Verge, eski teknolojiyi güncelleyememeleri nedeniyle Japonya’daki iki mobil oyunun hizmetini sonlandıracağını bildirdi. PHP geliştirme ekibi, yama uygulamanın zor olduğu sistemler için geçici önlemlerin tam çözüm olmadığını, eksiksiz korumanın yalnızca güncellemeyle sağlanabileceğini belirtti.

PHP ile oluşturulmuş web hizmetlerini işleten kurumların da sistemlerini incelemesi gerekiyor. Barındırma hizmeti kullanan işletmeciler, sağlayıcılarına güncellemenin uygulanıp uygulanmadığını sormalı.

Wiz, açığın keşfedilmesine ve istismar kodunun geliştirilmesine yapay zekâ modellerinin katkıda bulunduğunu açıkladı. Ancak kamuya açık bilgiler, açığın yapay zekâ tarafından tek başına bulunduğunu veya saldırının yapay zekâ tarafından gerçekleştirildiğini göstermiyor. Hizmet işletmecilerinin önce sistemlerinde çalışan PHP sürümünü ve sağlayıcılarının güvenlik güncellemelerini uygulayıp uygulamadığını kontrol etmesi gerekiyor.