YüksekII Siber Savaş ve Kritik Altyapı21 Ekim 2026, Çarşamba
CISA, yaması yapılamayan PHP sistemlerinin çevrimdışı alınmasını istedi
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 21 Ekim'de PHP2Shell adlı 2 kritik açık için acil yama çağrısı yaptı. Yamalayamayan ya da desteği biten 8.1 ve öncesini kullanan kurumlardan sistemleri çevrimdışı almalarını istedi.
CISA'nın 21 Ekim tarihli uyarısına göre CVE-2026-109618 ve CVE-2026-109619 numaralı açıklar, web isteğine yanıt veren tüm PHP kurulumlarında kimlik doğrulaması olmadan uzaktan kod çalıştırmaya izin veriyor. Düzeltmeler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde. The Record'a göre PHP iki açığı da 10 üzerinden 9,2 ile kritik sınıfta puanladı; yamalar 21 Ekim'de ABD Doğu saatiyle 10:00'dan sonra çıkmaya başladı.
İstismar konusunda kaynaklar ayrışıyor. CISA, uyarının yayımlandığı an itibarıyla istismar gözlemlemediğini yazıyor. BleepingComputer'a göre Cloudflare'in teknoloji direktörü, yamalar çıkmadan iki açığı da hedefleyen erken saldırıları doğruladı. The Record'a göre watchTowr, yapay zekâ yardımıyla yazılmış kavram kanıtı araçlarıyla yapılan girişimleri gördü, ancak bu girişimlerin henüz başarılı olmadığını söyledi.
Ölçek sorunun özü. BleepingComputer'ın aktardığı VirusTotal tahminine göre internete açık 5,1 milyondan fazla PHP sunucusu var. The Record'a göre Detectify, PHP sitelerinin yaklaşık yarısının artık güncelleme almayan eski sürümlerde çalıştığını söylüyor. 21 Ekim'de yüzlerce site çevrimdışı kaldı; Nintendo hizmet askıya alan şirketler arasında. Uyarı yayımlayan ülkeler arasında ABD, Almanya, İngiltere, Hollanda, Avustralya ve Japonya var.
Açıkları yaklaşık 2 ay önce Calif şirketinin araştırmacıları OpenAI'nin araçlarını kullanarak buldu. CISA bir gün önce, 20 Ekim'de, 4'ü Plex Media Server'a ait 6 açığı aktif istismar listesine (KEV) eklemişti. Bu 6 açıktan biri, Japonya'nın ulusal CERT'inin de istismar edildiğini bildirdiği SiteGuard web uygulama güvenlik duvarındaki komut enjeksiyonu açığı.
Talay değerlendirmesi
Sonuç
PHP2Shell, yapay zekânın açık bulma hızının yama döngüsünü geçtiği ilk geniş ölçekli vakalardan biri. Sitelerin yaklaşık yarısı yama almayan sürümlerde olduğu için risk günlerle değil aylarla ölçülecek. En olası yol, başarılı istismarın küçük ve bakımsız siteler üzerinden yayılması ve bunun oltalama ile zararlı yazılım dağıtım altyapısını büyütmesi.
Olası etkiler
- Küçük işletme ve kamu siteleriOlumsuzOrta vade
Desteği biten 8.1 ve öncesi sürümlere yama gelmiyor; bu siteler ya kapanma ya da istismar arasında seçim yapmak zorunda kalıyor.
- Barındırma şirketleriOlumsuzKısa vade
5,1 milyonu aşan açık sunucu, paylaşımlı barındırma şirketlerine toplu yama ve hizmet kesintisi maliyeti yüklüyor.
- Türkiye'deki web altyapısıOlumsuzKısa vade
The Record'un 21 Ekim'deki uyarı listesinde Türkiye yer almıyor; desteği biten PHP sürümünde çalışan yerel kamu ve e-ticaret siteleri aynı açığa maruz.
İhtimaller
- 1Yaygın ama sığ istismar%55
Başarılı saldırılar bakımsız sitelerde artar, büyük kurumlar hızla yamalar, sistemik çöküş olmaz.
İzlenecek: CISA'nın iki PHP açığını KEV listesine eklemesi
- 2Büyük ihlal zinciri%30
Bir barındırma şirketi ya da yaygın içerik yönetim sistemi üzerinden toplu ele geçirme yaşanır, veri sızıntıları açıklanır.
İzlenecek: Kasım ortasına kadar PHP2Shell'e bağlanan büyük ölçekli ihlal bildirimi
- 3Hızlı kapanış%15
Yama ve geçici WAF kuralları istismarı sınırlar, olay birkaç hafta içinde gündemden düşer.
İzlenecek: watchTowr ve Cloudflare'in başarılı istismar girişimi bildirmemesi
Olasılıklar kaynaklara dayanan kalibre yargıdır, ölçüm değildir; yeni bilgiyle güncellenir. Yatırım tavsiyesi değildir.
Piyasa tepkisi
Etkilenen göstergeler
- İnternete açık PHP sunucusu▲ 5,1+ milyon
- Açık şiddet puanı▲ 9,2 / 10
- 20 Ekim KEV eklemesi▲ 6 açık