PHP2Shell Güvenlik Açıkları ve DT Cloud Güvenlik Önlemleri

PHP2Shell, PHP çekirdeğinde bulunan CVE-2026-109618 ve CVE-2026-109619 numaralı iki kritik güvenlik açığı için kullanılan addır. PHP'nin resmî duyuruları, bu açıkların belirli koşullarda kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya (RCE) yol açabileceğini doğruluyor. Başarılı bir istismarda saldırgan, PHP işleminin yetkileriyle kod çalıştırabilir; bu da uygulama verilerini ve hizmetin sürekliliğini riske atar.

CVE-2026-109618, bellek yetersizliği sırasında henüz tam hazırlanmamış iç verilerin hatalı işlenmesiyle ilgilidir. CVE-2026-109619 ise bir isteğe ait bellek serbest bırakıldıktan sonra, o belleğe işaret eden bilgilerin sonraki istekte kullanılabilmesinden kaynaklanır. Sorun PHP çalışma ortamında bulunduğu için yalnızca uygulama kodunu veya kullanılan bir eklentiyi güncellemek yeterli değildir.

PHP ekibi, web isteklerini karşılayan PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed kurulumlarının değerlendirmeye alınması gerektiğini belirtiyor. İstismarın koşulları kullanılan yapılandırmaya göre değişiyor. Bu yüzden yalnızca uygulamanın dışarıdan normal çalışmasına bakarak risk bulunmadığı sonucuna varılmamalı.

PHP'nin 21 Ekim'de yayımladığı düzeltmeler 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde yer alıyor. Kurumlar, kullandıkları sürüm dalına uygun yamalı sürüme geçmeli. Linux dağıtımının sunduğu paketler kullanılıyorsa düzeltmenin pakete dahil edildiği üreticinin güvenlik duyurusundan doğrulanmalı. Bazı dağıtımlar düzeltmeyi eski sürüm numarasını koruyarak pakete taşıyabildiğinden, yalnızca sürüm numarasına bakmak yanıltıcı olabilir.

Kontrol, uygulamaya gerçekten hizmet veren PHP ortamında yapılmalı. Aynı sunucuda birden fazla PHP sürümü bulunabilir; komut satırında görülen sürüm, web uygulamasının kullandığı sürümle aynı olmayabilir. Konteynerler ve ayrı uygulama havuzları da envantere dahil edilmeli. Güncellemenin ardından ilgili servislerin yeniden başlatılması ve web trafiğini karşılayan süreçlerin yamalı sürümle çalıştığının doğrulanması gerekir.

PHP 8.1 ve önceki sürümler PHP projesinin düzenli güvenlik desteği dışında. Bu sistemlerde desteklenen bir sürüme geçiş veya kullanılan dağıtımın sağladığı güvenlik düzeltmesi değerlendirilmelidir. Güncelleme hemen uygulanamıyorsa erişim kısıtları ve üreticinin önerdiği geçici önlemler devreye alınabilir. Ancak bunlar açıkların tamamen giderildiği anlamına gelmez.

Web Application Firewall (WAF), web uygulamasına gelen istekleri uygulama katmanında inceleyen güvenlik bileşenidir. DT Cloud'da Floating IP üzerinden internete açık PHP uygulamalarından DT WAF korumasına aldıklarımızın HTTP/HTTPS trafiği önce DT WAF üzerinde denetleniyor. Kontrolden geçen istekler daha sonra müşteri sunucusuna iletiliyor.

Bu yapılandırmalarda, ilgili PHP güvenlik açıklarını hedefleyen saldırılara yönelik özel imza ve engelleme kurallarını devreye aldık. Kurallarla eşleşen zararlı istekler, sunucudaki PHP çalışma ortamına ulaşmadan engelleniyor. Bu uygulama, tanımlanan saldırı örüntülerine karşı ek koruma sağlıyor; tüm saldırı biçimlerinin engellendiği veya bütün PHP uygulamalarının otomatik olarak korunduğu anlamına gelmiyor.

Korumanın işlemesi için uygulama trafiğinin DT WAF üzerinden geçmesi gerekiyor. Sunucunun Floating IP adresindeki web portları internetten doğrudan erişilebilir durumdaysa saldırgan, isteğini WAF'a uğramadan sunucuya gönderebilir. Alan adının WAF'a yönlendirilmiş olması, sunucuya açık kalan bu ikinci erişim yolunu kapatmaz.

Bu nedenle ilgili web portlarına erişim, yalnızca DT WAF IP adreslerinden gelen bağlantılara izin verecek şekilde sınırlandırılmalı. Güvenlik duvarı veya erişim kontrol kuralları, uygulamanın kullandığı tüm web portlarını kapsamalı. Değişiklik sonrasında yetkili testlerle hem WAF üzerinden hizmetin çalıştığı hem de internetten doğrudan erişimin engellendiği doğrulanmalı. Böylece trafik denetiminin dışında kalan bir yol bırakılmamış olur.

DT SIEM'e log akışı bulunan sistemlerde güvenlik olaylarını ve şüpheli aktiviteleri izleyerek inceleme ve müdahale çalışmalarını destekliyoruz. SIEM, farklı kaynaklardan gelen güvenlik kayıtlarının birlikte değerlendirilmesine yardımcı olur. İzlemenin kapsamı da sisteme hangi kayıtların ulaştığına bağlıdır.

Kurumların bu süreçte log akışının devam ettiğini kontrol etmesini ve şüpheli bir bulgu halinde kayıtları koruyarak teknik inceleme başlatmasını öneriyoruz. Güncelleme yapılması, öncesinde gerçekleşmiş olabilecek bir ihlalin araştırılması ihtiyacını ortadan kaldırmaz. Engellenen bir istek de tek başına sunucunun ele geçirildiğini göstermez; olay, diğer bulgularla birlikte değerlendirilmelidir.

DT WAF ve DT SIEM, PHP'nin güvenlik güncellemelerinin yerine geçmez. Güncellemenin uygulandığı, web trafiğinin WAF üzerinden geçtiği ve gerekli logların toplandığı ayrı ayrı doğrulanmalıdır. Mevcut uygulamanızın koruma kapsamını teknik ekibimizle birlikte gözden geçirebilirsiniz.