Ne oldu? 21 Ekim’de yaması çıkan PHP2Shell açıkları (CVE-2026-109618 ve CVE-2026-109619) için ortam 25 Ekim itibarıyla hâlâ gri: CISA bunları aktif istismar kataloğuna eklemedi, doğrulanmış büyük ölçekli bir sızma yok, ama birden çok firma tarama/istismar görüyor ve en az bir “silahlandırılmış” istismar müşterilere özel dolaşıyor. Kontrol tarihi: 25 Ekim 2026 (TR).
Dört günde ne değişti?
- CISA KEV: Son kontrolde iki açık da KEV kataloğunda değil. CISA’nın bu aralıkta eklediği açıklar başka ürünlere aitti (ör. 23 Ekim’de Collabora Online CVE-2026-110447). PHP2Shell için “aktif istismar” damgası henüz resmî değil. İlk özet ve korunma rehberimiz: /t/164 · /t/174
- İlk deneme yamadan önceydi: Amazon’un tuzak sistemlerinde (honeypot) ilk istismar denemesi 17 Ekim’de, yani yama çıkmadan dört gün önce görülmüş.
- “Silahlı” exploit: VulnCheck, CVE-2026-109618 için çalışan (silahlandırılmış) bir istismar kodu olduğunu, ancak bunun yalnızca kendi müşterilerine açık olduğunu ve herkese açılmadığını söylüyor. PHP Vakfı ise yayın anında “işleyen bir istismar görmediklerini” belirtmişti. Ayrıca doğrulanmamış kavram-kanıt (PoC) paketlerinin ortalıkta dolaştığı bildiriliyor.
Telemetriler neden çelişiyor?
- İstismar gördüğünü söyleyenler: watchTowr küresel tuzak ağında 21 Ekim’den beri istismar gözlemlediğini, Cloudflare “erken saldırıların başladığını”, Hadrian ise çoğunlukla PHP’nin oturum yükleme ilerleme (session upload progress) yolu üzerinden ölçekli istismar gördüğünü açıkladı.
- Temkinli olanlar: Patchstack telemetrisi şimdilik çoğunlukla yoklama (probing) gösteriyor; Huntress 21 Ekim itibarıyla ortak sistemlerinde istismar görmemişti. Doğrulanmış, başarılı bir ele geçirme hâlâ raporlanmadı. Sansec ise kitlesel istismarın bunu takip etmesini bekliyor.
- Özet: tarama ve deneme yoğun, ama “şu kurum şöyle düştü” türü doğrulanmış büyük vaka henüz ortada yok. Bu, tehlikenin az olduğu anlamına gelmez — tersine, fırsat penceresi hâlâ açık.
Ne yapmalısın?
- Tek gerçek çözüm aynı: PHP’yi 8.5.12, 8.4.27, 8.3.36 veya 8.2.35’e (dağıtım paketlerindeki yamalı sürüm) güncelle. CISA, hemen güncelleyemeyen veya PHP 8.1 ve öncesini çalıştıran kurumlara, yamalanana kadar PHP tabanlı sistemleri çevrimdışı almayı öneriyor.
- Yapılandırma hilelerine güvenme: Toplulukta dolaşan
session.upload_progress.enabled=0gibi ayarlar Datadog’a göre korumuyor. Yamadan başka güvenilir mitigasyon yok. - Etkileniyor muyum, nasıl kontrol ederim, sızdıysam ne yaparım: PHP2Shell korunma ve kurtarma rehberi
Kaynaklar: Tenable PHP2Shell SSS, watchTowr PHP2Shell SSS, Datadog Security Labs, Sophos danışma belgesi (21 Ekim), SOCRadar analizi. Kontrol tarihi: 25 Ekim 2026.