PHP (PHP2Shell) Güvenlik Açığı Nedir?

PHP2Shell, PHP çekirdeğindeki bellek yönetimi ve istek işleme kusurlarını zincirleyen kritik bir uzaktan kod yürütme riskidir. Tek bir uygulama hatasından değil, PHP çalışma zamanının temel davranışlarından kaynaklanır. Bu nedenle WordPress, Drupal veya özel yazılım fark etmeksizin savunmasız PHP sürümü çalıştıran tüm sistemler etkilenebilir. CVSS 9.2 düzeyindeki bu açık, kimlik doğrulaması olmadan sunucuda kod çalıştırma, veri sızıntısı ve tam sistem ele geçirme sonuçlarına yol açabilir. Bu rehber ile PHP2Shell güvenlik açığı nedir sorusuna sade biçimde yanıtlar arayacağız.

PHP2Shell Güvenlik Açığı Hangi Sistemleri Etkiler?

PHP2Shell, CVE-2026-109618 ve CVE-2026-109619 olarak anılan iki zafiyetin birleşiminden oluşur. İlk zafiyet, PHP’nin bellek yetersizliği hata işleme mekanizmasındaki bozulmayı tanımlar. İkinci zafiyet, istek işleme sırasında ortaya çıkan bayat küresel durum ve use-after-free sorunlarına dayanır. Use-after-free, serbest bırakılmış bir bellek alanının hâlâ kullanılmaya çalışılması anlamına gelir. Bu durum saldırganın bellek alanına zararlı veri yerleştirmesine olanak tanır. İki kusur birleştiğinde önce bellek kaosu oluşur, ardından yetkisiz kod çalıştırma aşamasına geçilir. Açığın en tehlikeli yanı, uygulama kodundan bağımsız olarak yalnızca PHP çalışma zamanını hedef almasıdır. Etkilenen yapılandırmalar arasında PHP-FPM, Apache mod_php, PHP-CGI, FrankenPHP ve LiteSpeed bulunur. Özellikle Apache mod_php yapılandırması yüksek riskli kabul edilir. Resmi verilere göre PHP 5.4 ve sonrasındaki birçok sürüm etkilenebilir. Saldırganlar bu açıkla yalnızca kod çalıştırmaz; oturum belirteci, parola ve API anahtarı gibi verileri de okuyabilir. Bu nedenle risk yalnızca teknik değil, aynı zamanda operasyonel ve hukuki boyut taşır.

PHP2Shell güvenlik açığı nedir sorusunun kısa yanıtı, PHP çekirdeğinde uzaktan kod yürütmeye yol açan kritik bir zafiyet zinciridir.
Etkilenen sistemler yalnızca belirli bir CMS ile sınırlı değildir; savunmasız PHP sürümü çalıştıran tüm web uygulamaları risk altındadır.
Açık, uygulama kodundan önce çalışabildiği için yalnızca eklenti veya tema güncellemesi yeterli koruma sağlamaz.

PHP2Shell Saldırısı Nasıl Çalışır?

Tipik bir PHP2Shell saldırısı keşif aşamasıyla başlar ve saldırgan form alanlarını, dosya yükleme uçlarını ve hata mesajlarını inceler. Ardından zararlı bir PHP dosyasını görünüşte masum bir görsel veya belge gibi yüklemeyi dener. Yükleme başarılı olursa dosyanın web üzerinden erişilebilir bir dizine düşmesi ve PHP yorumlayıcısı tarafından çalıştırılması gerekir. Bu iki koşul birleştiğinde webshell devreye girer ve saldırgan sistem komutları çalıştırabilir. LFI yani yerel dosya dahil etme zafiyeti varsa saldırgan sunucudaki mevcut dosyaları dahil ederek kod çalıştırmaya çalışabilir. RFI yani uzak dosya dahil etme açıksa dışarıdan bir URL’deki zararlı kodun dahil edilmesi riski doğar. Dosya yükleme doğrulaması yalnızca Content-Type başlığına bakıyorsa bu başlık kolayca taklit edilebilir. Yüklenen dosyanın adı rastgeleleştirilmiyorsa veya uzantı kontrolü kara liste mantığıyla yapılıyorsa .php, .phtml ve .phar gibi varyasyonlar atlatma amacıyla kullanılabilir.

Dosya yükleme dizininde PHP çalıştırılmasına izin verilmesi en yaygın tetikleyicilerden biridir.
Uzantı doğrulamasının yalnızca istemci tarafında yapılması sunucu tarafında güvenlik sağlamaz.
include veya require fonksiyonlarına kullanıcıdan gelen dosya yolu filtrelenmeden verilmemelidir.
Yüklenen dosyalar web kökü dışında saklanmalı ve doğrudan URL ile erişilebilir olmamalıdır.
Kara liste yerine izin listesi kullanılmalı ve yalnızca gerçekten ihtiyaç duyulan uzantılara izin verilmelidir.

PHP2Shell İstismarında Saldırganlar Hangi Yöntemleri Kullanır?

İstismar süreci, iki zafiyetin zincirleme kullanılmasına dayanır. Saldırgan önce CVE-2026-109618’i tetikleyerek kontrolsüz bellek yetersizliği hatası oluşturur. Bu hata, PHP’nin hata işleme rutinlerinde bozulma yaratır. Ardından CVE-2026-109619 için gerekli bayat bellek durumu hazırlanır. Serbest bırakılmış bellek bölgesine saldırgan tarafından hazırlanan zararlı veriler yazılır. Son aşamada PHP motoru, saldırganın kontrolündeki bu alanı geçerli yapı sanarak işleme devam eder. En yaygın istismar vektörü session.upload_progress mekanizmasıdır. Saldırgan özel hazırlanmış multipart/form-data isteğiyle oturum dosyalarına zararlı içerik enjekte edebilir. Uygulama bu oturum verisini include veya require ile yüklerse zararlı kod çalışır. Halka açık kanıt-of-concept çalışmaları upload_progress, oturum zehirleme ve include zincirinin uçtan uca çalışabildiğini göstermiştir. Bu nedenle kullanıcı kontrollü oturum verileri asla doğrudan include edilmemelidir.

Saldırgan önce hedef sunucunun savunmasız PHP sürümü çalıştırdığını tespit eder.
Saldırgan özel isteklerle bellek bozulmasını tetikler ve oturum dosyalarını zehirler.
Saldırgan uygulamanın oturum verisini işlemesini sağlayarak zararlı kodu çalıştırır.
Saldırgan başarılı olduktan sonra web shell yerleştirir ve hassas verileri sızdırır.
Saldırgan ağ içinde yanal hareket için ek erişim yolları arar.

PHP2Shell Açığı Nasıl Tespit Edilir?

En etkili korunma yöntemi, PHP çalışma zamanını resmi güvenlik duyurularında belirtilen yamalı sürümlere yükseltmektir. PHP geliştirici ekibi bu açıkları kapatan güvenlik yamalarını yayınlamıştır. Eğer sisteminiz destek dışı bir PHP sürümü çalıştırıyorsa önce desteklenen bir sürüme geçiş planı hazırlayın. Yama uygulamak mevcut bir web shell’i ortadan kaldırmaz; bu nedenle yama sonrası güvenlik taraması yapın. Yama hemen mümkün değilse geçici önlemleri derhal uygulayın. Bu önlemler tek başına tam koruma sağlamaz, ancak saldırı yüzeyini daraltır.

session.upload_progress.enabled ayarını 0 yaparak bilinen istismar vektörünü geçici olarak kapatın.
Cloudflare veya ModSecurity üzerinde PHP2Shell’e özel WAF kurallarını etkinleştirin.
session.use_strict_mode, session.use_only_cookies ve session.cookie_httponly ayarlarını sıkılaştırın.
Tüm sunucularda php -v komutuyla PHP sürüm envanteri çıkarın ve internet açık sistemlere öncelik verin.
Değişiklik öncesi web sitelerini ve veritabanlarını yedekleyin.
Güncelleme sonrası PHP sürümünü web sunucusu üzerinden doğrulayın.
PHP süreçlerinin bash, curl, wget veya nc gibi araçları çalıştırıp çalıştırmadığını izleyin.
Tespit için ağ trafiği, sistem günlükleri ve dosya bütünlüğü birlikte incelenmelidir. 

PHP_SESSION_UPLOAD_PROGRESS içeren anormal istekler güçlü bir uyarı işaretidir. PHP süreçlerinden türeyen bash veya curl gibi alt süreçler başarılı istismar belirtisi olabilir. Web sunucusunun yazma izni olan dizinlerde sonradan oluşan PHP dosyalarını kontrol edin.