Çarşamba günü, on yıllardır kullanılan açık kaynaklı web teknolojisi PHP, yıllarca hareketsiz kalan iki güvenlik açığının araştırmacılar tarafından istismar yolu bulunmasıyla interneti neredeyse çökertti.
Açıklar PHP2Shell adıyla anılıyor ve resmi olarak CVE-2026-109618 ve CVE-2026-109619 olarak tanımlanıyor. Basitçe anlatmak gerekirse, bu açıklar bilen herkesin şifreye gerek kalmadan PHP çalıştıran çevrimiçi bir sisteme, örneğin bir web sitesine ya da internete açık sunucuya girip verilerini değiştirmesine olanak tanıyor.
Durum oldukça büyük ölçekliydi ve kötü niyetli saldırganların bunları kullanmadan önce sistemlerini yamalayabilmek için dünya çapında milyonlarca kişinin seferber olmasına yol açtı.
PHP web yazılımını sürdüren PHP Vakfı, Çarşamba günü açıkları kapatan yamaları kamuoyuna sundu. Vakfı, PHP’ye dayanan en büyük internet şirketlerine ve barındırma sağlayıcılarına yama için erken bir avantaj da vermişti.
Haftalar süren perde arkası görüşmeler ve sektör genelinde dikkatli koordinasyon sayesinde dünya, şimdilik kitlesel istismardan geniş ölçüde kaçındı. Çarşamba’dan itibaren hükümetler vatandaşları ve web sitesi olan şirketleri riskleri azaltmak için harekete geçmeye çağırdı. Bankalar, perakendeciler, oyun siteleri, çevrimiçi mağazalar, hastaneler ve bazı kamu kurumları sistemlerini korumak için sitelerini kapattı ve hizmetleri çevrimdışı aldı.
Güvenlik araştırmacıları durumun henüz bitmediğini ve dünya genelinde hâlâ yamalanmamış, hack ve veri hırsızlığına açık çok sayıda sistem bulunduğunu uyarıyor.
Bu aynı zamanda son büyük internet yazılımı paniği olmayacak gibi görünüyor; yapay zekânın henüz keşfedilmemiş ve istismar edilmeyi bekleyen açıkları hızla ortaya çıkarması bekleniyor.
Ne oldu?
Kaliforniya merkezli güvenlik araştırmacıları Calif, internette ve şirket ağlarındaki intranetler ve dahili siteler gibi yerel olarak barındırılan ortamlarda web siteleri ve uygulamaları oluşturmak için yaygın olarak kullanılan bir programlama dili olan PHP’de iki açık buldu.
PHP açık kaynaklıdır, yani ücretsizdir ve hemen hemen her amaç için herkes tarafından kullanılabilir. Bu yüzden bugün web’de en popüler ve yaygın kullanılan web programlama dillerinden biri haline geldi.
İki açık ilk kez 2024’te keşfedildi ancak o dönemde istismar edilebilecek durumda görülmedi ve yama yapılmadı. Güvenlik araştırmacıları kısa süre önce bunları istismar etmenin yolunu buldu ve yazılım üreticilerini düzeltme yapmaları için uyardı.
Calif, PHP Vakfı’na bilgi verdi. Vakıf, açıkları düzeltme ve koordineli açıklama süreci başlattı. Bu süreçte güvenlik sorunlarına ilişkin bilgi ve yamalar, büyük şirketlerin düzeltmeleri uygulamaya geçmesi için belirli bir son tarih öncesine kadar sıkı bir şekilde gizli tutulan bir gizlilik anlaşması altında paylaşıldı.
Açıklar neden bu kadar ciddi?
PHP2Shell, uzaktan internet üzerinden istismar edilebilmesi ve kurbanın bir bağlantıya tıklaması ya da dosya açması gerekmemesi nedeniyle oldukça ciddi. Buna uzaktan kod çalıştırma deniyor ve bir saldırganın dünyanın her yerinden etkilenen ve yamalanmamış bir sistem üzerinde fiilen tam kontrole sahip olmasını sağlayabildiği için en zarar verici açık türlerinden biri.
Dahası, bu özel PHP açıkları, şifre ya da başka bir kimlik bilgisi gerektirmeden internet üzerinden herhangi bir yamalanmamış sisteme girilmesini mümkün kılıyor; buna kimlik doğrulaması gerektirmeyen erişim deniyor.
Bu durum kötü niyetli bir saldırganın bilgisayara kötü amaçlı yazılım yerleştirmesine, örneğin veri çalmasına ya da daha sonra geri dönebileceği uzun süreli bir erişim noktası oluşturmasına olanak tanır.
Neden web’in yüzde 70’i etkilendi?
Açıklar özellikle riskli çünkü PHP ücretsiz olması ve nispeten kolay kullanılmasının yanı sıra on yıllardır var olması nedeniyle son derece popüler bir yazılım. Web’e bakan internetin yaklaşık yüzde 70’i PHP’ye dayanıyor, ancak kullanımı yıllar içinde daha yeni ve daha güvenli programlama dillerinin lehine yavaşça azalıyor.
Popülerliği nedeniyle dünyanın en popüler web sitelerinden bazıları PHP’ye dayanan yazılımlarla çalışıyor; örneğin WordPress (TechCrunch’ı barındıran), Drupal, Joomla ve çevrimiçi ansiklopedi devi Wikipedia’yı çalıştıran MediaWiki.
PHP, internet dalgalarından ve nesillerden sağ kurtulan ve artık internetin çoğunu bir arada tutan yapıştırıcıya benzeyen birçok yaşlanmış ama işlevsel teknolojiden yalnızca biri. Bu araçlar sıklıkla ücret almadan çalışan açık kaynak bakımcıları tarafından geliştiriliyor ve bu nedenle üçüncü taraf güvenlik incelemelerini karşılayamıyor; ancak finansal katkı sağlamayan şirketler tarafından hâlâ yoğun şekilde kullanılıyor.
Açıkların keşfinde yapay zeka kullanıldı mı?
Calif’teki güvenlik araştırmacıları, bu yıl PHP kodunun güvenlik denetimi kapsamında açıkları keşfettiği için kredilendirildi. Calif, yapay zeka modeli üreticisi OpenAI ve bulut güvenlik devi Wiz’in Hack the Planet girişiminde yer aldı ve Calif’in hazırladığı kanıt-of-konsept istismarlarını doğruladı.
Calif’in yazısında (çizgi romanlar eşliğinde, harika, bakın derler) araştırmacılar, açığın istismar edilmesinde yapay zekânın yardımcı olarak kullanıldığını ancak işin büyük kısmının araştırmacıların zaten sahip olduğu bilgi ve PHP’nin kod tabanı ile istismar geçmişine dair derin bilgiye dayandığını açıkladı.
“Hiçbir model basit istemlerle ‘tüm hataları’ ortaya çıkarmaya tek başına yetkin değil. En azından şimdilik,” diye yazdı Calif.
Açıklar açıklama öncesinde neden istismar edildi?
Çarşamba gününe kadar açıkların ayrıntılarının gizli tutulması için yapılan çabalara rağmen, yamaların yayınlanmasından önce PHP2Shell istismarının gerçekleştiği görülüyor.
Çevrimiçi tehditlere ilişkin büyük görünürlüğü nedeniyle Amazon, PHP yamalarının kullanıma sunulmasından yaklaşık bir hafta önce PHP2Shell istismarını tespit ettiğini bir blog yazısında belirtti. Bu, bir yerlerde birinin açıkların ayrıntıları geniş kitlelere sunulmadan önce nasıl istismar edileceğini bildiğini gösteriyor. Amazon, saldırganın açıkları nasıl öğrendiğinin net olmadığını ancak savunma ekiplerinin 17 Ekim tarihinden itibaren istismar kanıtları araması gerektiğini söyledi.
Açıklamaya yönelik birkaç teori var. Bir açık yama ile kapatıldığında, özellikle PHP’de olduğu gibi kod açık kaynaklı ve herkese açık denetlenebilir olduğunda, yamanın ayrıntıları hemen belli olabilir. Açıkları istismar etmek kolay olmayabilir ancak açığın nerede olduğu ve nasıl düzeltildiği bilindiğinde kötü niyetli saldırganlar nereyi hedefleyeceklerini ve istismarlarını nasıl geliştireceklerini anlayabilir.
Gizlilik anlaşması süresince bir sızıntı ya da iletişim kopukluğu yaşanmış olması mümkün. Açık kaynak topluluğu çok büyük ve bu tür bilgi kontrolü iyi niyete dayanır.
Ayrıca saldırganların açıkları bağımsız olarak ya da casusluk yoluyla önceden keşfetmiş olması da mümkün.
PHP Vakfı, bir şirketin yamaları gizlilik süresi bitmeden saatler önce yayına almasını suçladı; bu durum bazı saldırganlara avantaj sağlamış olabilir. Ancak bu, Amazon’un tespit ettiği haftalık aktiviteyi açıklamıyor.
Araştırmacılar, açıkların istismar edilebilir hale gelmesi için çok çalışılması gerektiğini ve açığın silahlaştırılmasının zorlu ama imkânsız olmadığını söylüyor; bu da şimdiye kadar kitlesel istismarın görülmemesini açıklıyor.
Cuma akşamı itibarıyla güvenlik devleri Palo Alto Networks ve Trail of Bits’e göre PHP açığıyla ilgili doğrulanmış ihlaller ve istismardan sonraki faaliyetler bulunuyor. Bu, açığın bilinmeyen bir hedefte kötü niyetli faaliyet yapmak için kullanıldığının tespit edildiği anlamına geliyor.
İnternetin büyük bölümü kapatıldı ama geri dönüyor. En kötüsünden kurtulduk mu?
Hâlâ erken bir dönem ama kitlesel istismarın görülmemesi cesaret verici bir işaret; ancak tehlike bölgesinden henüz çıkılmış değil.
Ağ güvenliği ve izleme devi Cloudflare’in CEO’su Matthew Prince, bu hafta açıkların açıklanmasının ardından istismar girişimlerinde üstel bir artış gördüklerini söyledi. Bu durum kötü niyetli aktörlerin kusurları ne kadar hızlı sömürmeye çalıştığını gösteriyor.
PHP yalnızca web sunucularında bulunmuyor; geliştirici araçlarında, komut satırı ve terminal paketlerinde ve yönlendiriciler, depolama aygıtları ve güvenlik duvarları ile VPN’ler gibi kurumsal güvenlik aygıtlarında kullanılan yazılım bileşenlerinde de kullanılıyor.
Küçük BT ekipleri ve tek başına geliştiricilerin güncellemede daha yavaş kalması nedeniyle PHP2Shell istismarının ilerleyen dönemde görülmesi bekleniyor. Ayrıca PHP’yi kendi ürün ve yazılımlarına entegre eden çeşitli şirketlerin de güncelleme yapması gerekecek bir dönem olacak.
Daha fazla aygıt ve sistem güncellendikçe saldırı yüzeyi zamanla azalacak. Ancak bu açıkların yankıları, güncellenme imkânı olmayan eski sistemlerde özellikle yıllarca hissedilebilir.
Bu tekrar olacak mı?
Güvenlik muhabiri olarak gördüğüm nadir interneti durduran günlerden biriydi bu. 2016’da devasa bir botnet internet kayıt kuruluşu Dyn’i çöp trafiğiyle doldurarak web’in en iyi hizmetlerinin büyük bölümünü yavaşlattı. 2017’de Kuzey Kore, ABD hükümetinden sızdırılan siber saldırı araçlarını kullanarak İngiltere sağlık sistemine fidye yazılımı bulaştırdı. 2024’te hatalı bir CrowdStrike güncellemesi küresel bir kesinti yaratarak dünyanın dört bir yanındaki Windows bilgisayarlarının çoğunu bir anda çökertti.
Tüm hesaplara göre PHP2Shell ile internet, aksi halde çok acı verici ve zararlı olabilecek bir günden kurtuldu. Ancak web’i vuran son büyük olay olmayacağı pek olası değil ve bu, eski teknolojideki zayıflıkları sömüren olayların bir trendinin ilki olabilir. Bunun büyük kısmı, henüz keşfedilmemiş kusurlara sahip eski ama her yerde bulunan yazılımın doğasında var olan kusurlar ve kusurları bulmayı kolaylaştıran yapay zeka araçlarından kaynaklanıyor.
PHP, on yıllar öncesinden gelen diğer web programlama dilleri ve teknolojileri gibi “bellek güvensiz”dir; bu, yazılımın bellek deposundan hassas verilerin sızdırılmasına ya da dökülmesine neden olabilecek bir dizi güvenlik açığıyla saldırıya uğrayabileceği anlamına gelir. Ulusal Güvenlik Ajansı’na göre aktif olarak istismar edilen güvenlik açıklarının yaklaşık yüzde 75’i bellekle ilgili kusurları kullanıyor; yani saldırganlar bunları sık kullanıyor.
Bu durum, Python, Rust ve Swift gibi aynı şekilde istismar edilemeyen bellek güvenli dillere geçişi tetikledi. Bu diller, seleflerini hâlâ etkileyen geniş bir güvenlik açığı yelpazesine karşı genel olarak bağışık hale getiriyor.
Ancak hâlâ PHP gibi teknolojiler, medya ve video kodekleri, sıkıştırma kitaplıkları ve on yıllar öncesinden gelen diğer yazılımlar gibi internetin büyük bir kısmı çalışıyor; bunlar bozulduğunda web’in geri kalanı için büyük etkileri olacak.
Bu tekrar olacak mı?
Güvenlik muhabiri olarak gördüğüm nadir interneti durduran günlerden biriydi bu. 2016’da devasa bir botnet internet kayıt kuruluşu Dyn’i çöp trafiğiyle doldurarak web’in en iyi hizmetlerinin büyük bölümünü yavaşlattı. 2017’de Kuzey Kore, ABD hükümetinden sızdırılan siber saldırı araçlarını kullanarak İngiltere sağlık sistemine fidye yazılımı bulaştırdı. 2024’te hatalı bir CrowdStrike güncellemesi küresel bir kesinti yaratarak dünyanın dört bir yanındaki Windows bilgisayarlarının çoğunu bir anda çökertti.
Tüm hesaplara göre PHP2Shell ile internet, aksi halde çok acı verici ve zararlı olabilecek bir günden kurtuldu. Ancak web’i vuran son büyük olay olmayacağı pek olası değil ve bu, eski teknolojideki zayıflıkları sömüren olayların bir trendinin ilki olabilir. Bunun büyük kısmı, henüz keşfedilmemiş kusurlara sahip eski ama her yerde bulunan yazılımın doğasında var olan kusurlar ve kusurları bulmayı kolaylaştıran yapay zeka araçlarından kaynaklanıyor.
PHP, on yıllar öncesinden gelen diğer web programlama dilleri ve teknolojileri gibi “bellek güvensiz”dir; bu, yazılımın bellek deposundan hassas verilerin sızdırılmasına ya da dökülmesine neden olabilecek bir dizi güvenlik açığıyla saldırıya uğrayabileceği anlamına gelir. Ulusal Güvenlik Ajansı’na göre aktif olarak istismar edilen güvenlik açıklarının yaklaşık yüzde 75’i bellekle ilgili kusurları kullanıyor; yani saldırganlar bunları sık kullanıyor.
Bu durum, Python, Rust ve Swift gibi aynı şekilde istismar edilemeyen bellek güvenli dillere geçişi tetikledi. Bu diller, seleflerini hâlâ etkileyen geniş bir güvenlik açığı yelpazesine karşı genel olarak bağışık hale getiriyor.
Ancak hâlâ PHP gibi teknolojiler, medya ve video kodekleri, sıkıştırma kitaplıkları ve on yıllar öncesinden gelen diğer yazılımlar gibi internetin büyük bir kısmı çalışıyor; bunlar bozulduğunda web’in geri kalanı için büyük etkileri olacak.
