On milyonlarca hizmet eski sürümde
Şirket, 21 Ekim'den bu yana 7 milyon 943 bin 892 hizmetin düzeltilmiş bir sürüme geçtiğini tespit etti. Bunların 7 milyon 241 bin 171'i son 24 saat içinde yamalı sürümle görüntülendi. Ancak bu rakamlar, doğrudan etkilenen sunucu veya kurum sayısını göstermiyor. Bir sunucu birden fazla web sitesini barındırabildiği için her hizmet ayrı bir kayıt olarak değerlendiriliyor.
Bununla birlikte Censys, tespit edilen tüm PHP hizmetlerinin sürüm bilgisini açıklamadığını belirtiyor. Dolayısıyla olayın gerçek etki alanı Censys verilerinden daha fala olabilir.
Türkiye'de oran yüzde 92,9
Elbette bu veriler Türkiye'deki tüm web sitelerinin veya sunucuların saldırıya açık olduğu anlamına gelmiyor. Censys'in sınıflandırması, taramalarda bildirilen PHP sürümlerini temel alıyor. Linux dağıtımları, güvenlik düzeltmelerini PHP sürüm numarasını değiştirmeden geriye dönük olarak uygulayabildiğinden bazı sistemler gerçekte güncel olmasına rağmen etkilenen sürüm olarak görünebiliyor. Bu nedenle rakamlar, doğrulanmış güvenlik açığı bulunan sistemlerin kesin sayısını değil, mevcut duruma ilişkin bir tahmini gösteriyor.
PHP2Shell açığı nasıl ortaya çıktı?
PHP2Shell adı verilen güvenlik sorunu, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen iki kritik açıktan oluşuyor. Açıklar, PHP'nin bellek yönetimindeki hatalardan kaynaklanıyor ve uygun koşullarda saldırganların kimlik doğrulaması olmadan uzaktan kod çalıştırmasına imkan tanıyabiliyor. Bu durum, etkilenen sunuculardaki dosyalara ve veritabanlarına erişilmesi gibi ciddi güvenlik riskleri oluşturuyor. Her iki açığa da 10 üzerinden 9,2 önem derecesi verildi.
Açıklar, OpenAI'ın Patch the Planet girişimi kapsamında yürütülen çalışmalar sırasında Calif ve Wiz araştırmacılarının katkılarıyla tespit edildi. Güvenlik araştırmacıları, yapay zeka destekli araçlardan yararlanarak PHP'de uzun süredir fark edilmeyen sorunları ortaya çıkardı. Açıklar 21 Ekim 2026'da kamuoyuna duyurulurken, PHP ekibi aynı zamanda güvenlik düzeltmelerini içeren yeni sürümleri yayımladı.
Ancak açıklamanın ardından saldırı girişimleri de gündeme geldi. AWS, duyurudan dört gün önce, 17 Ekim'de bir honeypot sisteminde anonim bir IP adresinden gelen istismar girişimini tespit ettiğini bildirdi. Cloudflare tarafında da duyuru öncesinde başlayan ve açıklamanın ardından hızla artan saldırı girişimleri gözlemlendi. Bu gelişmeler, güvenlik açıklarının yayımlanmasının ardından sistem yöneticilerinin güncellemeleri geciktirmemesi gerektiğini ortaya koydu.
PHP ekibi, açıkları gidermek için PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerini yayımladı. PHP 8.1 ve daha eski dallar için resmi güvenlik güncellemesi sunulmadığından bu sürümleri kullanan sistemlerin desteklenen bir PHP sürümüne geçirilmesi gerekiyor.
