Temel Çıkarımlar

• İki on yıllık PHP hataları (CVE-2026-109618 & CVE-2026-109619), “PHP2Shell” RCE zinciri haline getirildi ve CVSS 9.2 şiddet puanı aldı.
• AI modelleri (Gemini 4 Argon, GPT-5.6 Sol) istismar geliştirmeyi aylardan günlere indirdi.
• Düzeltmeler 21 Ekim 2026 tarihinde PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 için yayınlandı, ancak birçok üretici hâlâ hatayı ortaya çıkaran eski konsolları çalıştırıyor.
• Acil eylemler: PHP’yi yükseltin, tüm PHP-tabanlı arayüzleri (tedarikçi portalları, gösterge tabloları, OT konsolları) envantere alın ve Wiz’in güçlendirme kılavuzunu uygulayın.

PHP2Shell: Tehditin Halka Açık Web Sitesinden Daha Derin Neden Çalıştığı

Zafiyet Manzarası

20 Ekim 2026 tarihinde, 5.4 sürümünden (2012) beri PHP çekirdeğinde gizli iki kritik hata Hacker News ve X’te duyuruldu. CVE-2026-109618 ve CVE-2026-109619 olarak kataloglanan bu hatalar CVSS 9.2/10 puanı alarak tarihteki en şiddetli yazılım kusurları arasında yer aldı.

Her iki sorun da bellek-bozma kusurlarıdır ve zincirleme yapıldığında herhangi bir PHP-güçlü sitede kimlik doğrulaması gerektirmeyen uzaktan kod yürütme (RCE) sağlar. Zincire PHP2Shell adı verildi çünkü hedef sunucuda kimlik bilgisi olmadan bir kabuk açıyor.

AI-Hızlandırmalı İstismar Geliştirme

Geleneksel istismar araştırması haftalar ila aylar sürebilir. Bu vakada, öncü AI modelleri—Google Gemini 4 Argon ve OpenAI GPT-5.6 Sol—bellek-bozma hatalarının keşfi ve zincirlemesini otomatikleştirdi.

AI-odaklı iş akışı, normalde gereken sürenin %90 ’dan fazlasını kısaltarak Wiz ve Calif araştırmacılarının tek bir iş haftası içinde çalışan bir istismar üretmesini sağladı.

Üretim Ekosistemine Anlık Etki

Ana Üretim Yürütme Sistemleri (MES), ERP, PLM ve OT platformları nadiren PHP çalıştırsa da çevresel ekosistem bunu yapar. Tipik giriş noktaları şunlardır:

• Satın-alma siparişi verilerini ortaya çıkaran tedarikçi portalları
• Makine izleme için kullanılan eski gösterge tabloları
• Kenar ekipmanına gömülü cihaz konsolları
• CNC iş akışı yönetimi için üçüncü-taraf eklentiler

Industrial Cybersecurity Alliance tarafından yapılan 1.200 sanayi firması anketi, %38’inin hâlâ en az bir PHP-tabanlı web bileşeni barındırdığını ve bunların %12’sinin PHP 7.4’ten daha eski sürümler çalıştırdığını gösterdi; bu sürümler Ekim 2026 yamalarıyla uyumsuz.

Yama Yayılımı ve Erken Önlemler

PHP güvenlik ekibi dört yamalı sürümü hızlıca yayınladı:

Hollanda, Finlandiya ve Fransa’daki devlet kurumları geçici olarak kamu portallarını kapattı, bulut sağlayıcıları Amazon Web Services ve Cloudflare ise istismarın geçerliliğini doğrulamak amacıyla tarama etkinliğinde artış bildirdi.

Wiz, güçlendirme kılavuzunu (https://www.php2shell.com/#upgrade-php) yayımlayarak şunları önerdi:

1. Yamalı sürümlerden birine acil yükseltme.
2. Gerekmediği durumlarda allow_url_fopen ve exec işlevlerini devre dışı bırak.
3. PHP2Shell yükü için imzalara sahip bir Web Uygulama Güvenlik Duvarı (WAF) dağıt.
4. Gizli konsollar ve üçüncü-taraf eklentiler dahil tüm PHP-tabanlı varlıkların kapsamlı envanterini yap.

Üreticilerin Şimdi Yapması Gerekenler

1. Denetle üretim hatlarıyla doğrudan ilişkili olmasa bile tüm web-yönlü bileşenleri.
2. Yama ya da eski PHP kurulumlarını tespit sonrası 48 saat içinde değiştir.
3. Böl OT ağlarını, ele geçirilmiş web sunucularından yatay hareketi önleyecek şekilde segmente et.
4. İzle bilinen PHP2Shell imzalarına (ör. /tmp dizinlerine yönelik base-64 kodlu kabuk komutları) uyan anormal giden trafik kalıplarını.

Sonuç

PHP2Shell olayı, yaygın bir betik dilindeki bir zafiyetin göz ardı edilen web arayüzleri aracılığıyla sanayi ortamlarına nasıl sızabileceğini gösteriyor. AI-destekli istismar oluşturma, keşiften aktif tehdide geçiş süresini sıkıştırarak daha hızlı yama döngüleri ve daha sıkı varlık görünürlüğü talep ediyor. Üreticiler için en güvenli yol, tüm organizasyon çapında hızlı bir PHP yükseltmesi, kapsamlı envanter ve özellikle çekirdek üretim sistemlerinin dışındaki PHP-tabanlı hizmetlerin segmentasyonu. Bu çevresel bileşenleri görmezden gelmek, tüm üretim değer zincirini hâlen halka açık webte sınırlı olan uzaktan kod yürütme vektörüne maruz bırakabilir.