# 🐘 PHP2Shell dört gün sonra: hâlâ CISA KEV'de yok ama "silahlı" istismar kodu dolaşıyor, telemetriler çelişiyor **URL:** \ **Category:** Siber Haberler · Güncel\ **Tags:** siber-haberler, php, cisa-kev, php2shell\ **Created:** [Ekim 24, 2026, 11:58ös UTC](https://sibernobet.com/t/php2shell-dort-gun-sonra-hala-cisa-kevde-yok-ama-silahli-istismar-kodu-dolasiyor-telemetriler-celisiyor/197 "2026-10-24T23:58:34Z")\ **Posts on this page:** 1\ **Page:** 1
**Author:** ![Kalkan](https://sibernobet.com/user_avatar/sibernobet.com/kalkan/32/63_2.png) [@Kalkan](https://sibernobet.com/u/Kalkan)\ **Post date:** [Ekim 24, 2026, 11:58ös UTC](https://sibernobet.com/t/php2shell-dort-gun-sonra-hala-cisa-kevde-yok-ama-silahli-istismar-kodu-dolasiyor-telemetriler-celisiyor/197/1 "2026-10-24T23:58:34Z")
> **Ne oldu?** 21 Ekim’de yaması çıkan PHP2Shell açıkları (CVE-2026-109618 ve CVE-2026-109619) için ortam 25 Ekim itibarıyla hâlâ gri: CISA bunları aktif istismar kataloğuna **eklemedi** , doğrulanmış büyük ölçekli bir sızma yok, ama birden çok firma tarama/istismar görüyor ve en az bir “silahlandırılmış” istismar müşterilere özel dolaşıyor. **Kontrol tarihi: 25 Ekim 2026 (TR).** ## Dört günde ne değişti? - **CISA KEV:** Son kontrolde iki açık da **KEV kataloğunda değil.** CISA’nın bu aralıkta eklediği açıklar başka ürünlere aitti (ör. 23 Ekim’de Collabora Online CVE-2026-110447). PHP2Shell için “aktif istismar” damgası henüz resmî değil. İlk özet ve korunma rehberimiz: [/t/164](https://sibernobet.com/t/164) · [/t/174](https://sibernobet.com/t/174) - **İlk deneme yamadan önceydi:** Amazon’un tuzak sistemlerinde (honeypot) ilk istismar denemesi **17 Ekim’de** , yani yama çıkmadan dört gün önce görülmüş. - **“Silahlı” exploit:** VulnCheck, CVE-2026-109618 için çalışan (silahlandırılmış) bir istismar kodu olduğunu, ancak bunun **yalnızca kendi müşterilerine açık** olduğunu ve herkese açılmadığını söylüyor. PHP Vakfı ise yayın anında “işleyen bir istismar görmediklerini” belirtmişti. Ayrıca doğrulanmamış kavram-kanıt (PoC) paketlerinin ortalıkta dolaştığı bildiriliyor. ## Telemetriler neden çelişiyor? - **İstismar gördüğünü söyleyenler:** watchTowr küresel tuzak ağında 21 Ekim’den beri istismar gözlemlediğini, Cloudflare “erken saldırıların başladığını”, Hadrian ise çoğunlukla PHP’nin oturum yükleme ilerleme (session upload progress) yolu üzerinden ölçekli istismar gördüğünü açıkladı. - **Temkinli olanlar:** Patchstack telemetrisi şimdilik çoğunlukla **yoklama (probing)** gösteriyor; Huntress 21 Ekim itibarıyla ortak sistemlerinde istismar görmemişti. Doğrulanmış, başarılı bir ele geçirme hâlâ raporlanmadı. Sansec ise kitlesel istismarın bunu takip etmesini bekliyor. - Özet: tarama ve deneme yoğun, ama “şu kurum şöyle düştü” türü doğrulanmış büyük vaka henüz ortada yok. Bu, tehlikenin az olduğu anlamına gelmez — tersine, fırsat penceresi hâlâ açık. ## Ne yapmalısın? - **Tek gerçek çözüm aynı:** PHP’yi **8.5.12, 8.4.27, 8.3.36 veya 8.2.35** ’e (dağıtım paketlerindeki yamalı sürüm) güncelle. CISA, hemen güncelleyemeyen veya PHP 8.1 ve öncesini çalıştıran kurumlara, yamalanana kadar PHP tabanlı sistemleri **çevrimdışı almayı** öneriyor. - **Yapılandırma hilelerine güvenme:** Toplulukta dolaşan `session.upload_progress.enabled=0` gibi ayarlar Datadog’a göre **korumuyor.** Yamadan başka güvenilir mitigasyon yok. - Etkileniyor muyum, nasıl kontrol ederim, sızdıysam ne yaparım: [PHP2Shell korunma ve kurtarma rehberi](https://sibernobet.com/t/174) _Kaynaklar: [Tenable PHP2Shell SSS](https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote), [watchTowr PHP2Shell SSS](https://watchtowr.com/intelligence/php-cve-2026-109618-faq/), [Datadog Security Labs](https://securitylabs.datadoghq.com/articles/php2shell-critical-vulnerabilities-in-php.md), [Sophos danışma belgesi (21 Ekim)](https://www.sophos.com/en-us/security-advisories/sophos-sa-20261021-php2shell), [SOCRadar analizi](https://socradar.io/blog/php2shell-cve-2026-109618-cve-2026-109619/). Kontrol tarihi: 25 Ekim 2026._