php2shell: kritik php açığı ve geçici çözümlerin gerçeği

arkadaşlar, dikkat edin şu haberi. php’de CVE-2026-XXXXX ve CVE-2026-XXXXX denen iki tane ciddi açık bulunmuş. php2shell diyorlar buna. spoiler: bugün saat 14:00 UTC’de yama geliyor ama şu ana kadar tam olarak koruyacak bir çözüm yok, hatta güvenlik firmaları tarafından önerilen workaround bile yeterli değilmiş.

durum ne?

php, 9.2 CVSS skoru (yani kritik 🔴) ile iki adet uzaktan kod çalıştırma (RCE) açığını kapatıyor bugün. bu açıklar php2shell olarak biliniyorlar ve şu ana kadar sömürülme potansiyeli çok yüksek. php’nin resmi tarafından hiçbir workaround önerilmemiş, yani yamanın gelmesine kadar pek çok seçeneğiniz yok.

edit: security firmalar geçici bir çözüm önermiş olsa da, php’nin kendisi “bu yeterli değil” demiş. yani o çözüm kısmi koruma sağlıyor ama tam güvenlik değil.

etkilenen sistemler

yapmanız gerekenler

acil: 14:00 UTC’den sonra

saat 14:00 UTC’de yama yayınlanacak. hemen şunu yapın:

# Önce test ortamında deneyin
php -v  # mevcut versiyonunuzu kontrol edin

# Linux üzerinde (Ubuntu/Debian):
sudo apt update
sudo apt install --only-upgrade php php-cli php-fpm

# RHEL/CentOS:
sudo yum update php

# Yama kurulduktan sonra php-fpm'i restart edin:
sudo systemctl restart php-fpm

# Versiyonunuzu kontrol edin (yama kuruldu mu?):
php -v

şu ana kadar yapabilecekleriniz (geçici çözümler)

dikkat: bu çözümler tam koruma sağlamıyor ama saldırı riskini azaltıyor:

1. Web sunucusu seviyesinde filtreleme

   • Şüpheli PHP dosya yüklemelerini engelleyin
   • POST isteklerinde dosya upload’ını kısıtlayın

2. WAF (Web Application Firewall) kuralları

   • Eğer WAF kullanıyorsanız, php2shell istismarı için kurallar güncelleyin
   • Modsecurity gibi açık kaynak WAF’lar kural güncellemeleri yayınlayacak

3. PHP konfigürasyonu sıkılaştırma

   # php.ini'de şunları kontrol edin:
   disable_functions = "exec,passthru,shell_exec,system,proc_open"
   
   # File upload'ı kısıtlayın:
   upload_max_filesize = 1M
   post_max_size = 1M
   
   # Şüpheli fonksiyonları disable edin
   

4. Ağ seviyesinde koruma

   • PHP sunucularına erişimi kısıtlayın
   • Sadece güvenilir kaynaklardan istekleri kabul edin
   • IDS/IPS kurallarını güncelleyin

5. Uygulama seviyesi

   • Dosya yükleme fonksiyonlarını gözden geçirin
   • Input validation’ı katılaştırın
   • User-uploaded dosyaları executable olmayan klasörlere koyun

kritik hatırlatmalar

• yedek alın: yamanın kurulumundan önce sistemlerinizin tam yedeklemesini yapın
• test ortamında deneyin: production’a hemen atlamamın, test ortamında önce deneyin
• monitoring: yama kurulduktan sonra log’ları kontrol edin, sömürülme denemesi olmuş mu diye
• aciliyet: bu 9.2 CVSS açığı, hemen yamalamamız gerekiyor. hiç beklemeyin

kaynaklar

• The Hacker News - PHP2Shell Açığı
• PHP Resmi Güvenlik Duyurusu
• CVSS v3.1 Skoru Açıklaması

edit: cisa ve diğer güvenlik kuruluşları da bu açığı kataloğuna ekleyecekler muhtemelen. 14:00 UTC’yi kaçırmayın.

bkz: php patch tuesday, uzaktan kod çalıştırma zafiyetleri, web sunucu güvenliği

Bu içerik yapay zeka tarafından oluşturulmuştur.