PHP Kullananlar Dikkat: AWS ve USOM’dan Ulusal Çapta Kırmızı Alarm!

İnternet altyapısını koruyan duvarlar çatırdıyor: AWS, dünya genelinde "PHP2Shell" siber saldırılarının hızla yayıldığını duyurarak acil durum ilan etti. 

Yapay zekanın siber güvenlik alanındaki çift taraflı bıçak etkisini kanıtlayan en büyük krizlerden biri yaşanıyor. Dünyanın en yaygın web teknolojilerinden biri olan PHP'de, son 10 yılda yayınlanan neredeyse tüm sürümleri (PHP 5.4'e kadar geriye dönük olarak) etkileyen iki kritik güvenlik açığı keşfedildi. "PHP2Shell" adı verilen bu açıklar nedeniyle dünya genelinde hükümet siteleri karartılırken, bulut bilişim devi Amazon Web Services (AWS), yamalar henüz resmi olarak yayınlanmadan günler önce hackerların internet genelinde saldırılara başladığını doğruladı.

1. Krizin Merkezindeki İki Kritik Açık: CVE-2026-109618 ve CVE-2026-109619

Siber güvenlik kuruluşu Wiz ve DataDog Security Labs tarafından incelenen açıklar, CVSS v4.0 ölçeğinde 9.2 gibi korkunç bir kritiklik skoruna sahip. Açıkların teknik yapısı şu şekilde ayrışıyor:

• CVE-2026-109618 (Bellek Bozulması / Out-of-Memory Corruption): PHP çekirdeğindeki hafıza yönetimini hedef alarak sunucunun çökmesine veya saldırganın bellekten kritik verileri sızdırmasına yol açıyor.

• CVE-2026-109619 (Bayat Küresel Durum / Stale Global State): PHP'nin PHP_SESSION_UPLOAD_PROGRESS (dosya yükleme ilerleme durumu) özelliğindeki mantıksal bir hatayı suiistimal ediyor. Kimlik doğrulaması olmaksızın (Unauthenticated), doğrudan sunucu üzerinde kod çalıştırılmasına (RCE) olanak tanıyor. 

En Tehlikeli Kısım: Bu açıklar, uygulama katmanından tamamen bağımsızdır. Yani web sitenizin kodları ne kadar güvenli olursa olsun, PHP istekleri henüz sizin yazdığınız kodlara ulaşmadan önce (pre-routing) işlendiği için uygulama düzeyindeki hiçbir firewall veya şifreleme koruması bu saldırıyı engelleyemiyor. 

2. AWS MadPot Verileri: Hackerlar Yamadan Önce Harekete Geçti!

AWS Güvenlik Blogu üzerinden yapılan resmi açıklamaya göre, Amazon’un tehdit istihbarat ağı "MadPot" (gelişmiş bal küpü/honeypot sistemleri), ilk PHP2Shell saldırı girişimini 17 Ekim 2026 tarihinde kayıt altına aldı. 

PHP topluluğunun resmi yamayı yayınlama tarihi ise 21 Ekim 2026. Bu durum, siber korsanların zafiyeti ambargo altındayken (sıfırıncı gün / zero-day aşamasındayken) öğrendiklerini ve ticari anonim ağlar arkasına gizlenerek dünya genelindeki sunucuları taramaya başladıklarını gösteriyor. Yamaların yayınlandığı saatlerde ise internet ortamı yüzlerce Proof of Concept (PoC) saldırı koduyla dolup taştı.

3. Sorumlu Frontier AI Modelleri mi?

Wiz güvenlik analistlerine göre, bu açıkların onlarca yıldır fark edilmemesinin sebebi, sömürülebilmesi için insan zihninin sınırlarını zorlayan, aşırı karmaşık adımlardan oluşan bir zincire ihtiyaç duymasıydı. Ancak yeni nesil öncü yapay zekâ (Frontier AI) modelleri, karmaşık kod analiz yetenekleriyle bu bariyeri saniyeler içinde yıkarak eski ve derin kusurları çalışan birer silaha (exploit) dönüştürdü. AWS de siber güvenlik diplomasisinin yapay zekâ çağında çok daha hızlı hareket etmesi gerektiğinin altını çizdi.

4. Küresel Etki: Devlet Siteleri Çevrimdışı

Zafiyetin duyurulmasının ardından siber güvenlik otoriteleri "acil" koduyla uyarılar yayınladı. 

• Avrupa'da Alarm: Fransa, Finlandiya, Almanya ve Hollanda gibi ülkeler, siber saldırıya maruz kalmamak ve yamaları güvenli bir şekilde uygulayabilmek adına kamuya açık pek çok hükümet sitesini tedbiren geçici olarak dış dünyaya kapattı. 

• Türkiye'de Durum: T.C. Cumhurbaşkanlığı Siber Güvenlik Başkanlığı (USOM) ulusal ölçekte alarm durumuna geçerek kamu kurumları ve kritik altyapı sağlayıcıları için önleyici tarama çalışmalarını devreye aldı.

5. Acil Eylem Planı ve Mitigasyon Yöntemleri

Güvenlik uzmanları, topluluk arasında dolaşan session.upload_progress.enabled=0 gibi geçici konfigürasyon değişikliklerinin sistemleri tam olarak korumadığını vurguluyor. Tek ve kesin çözüm PHP sürümünü acilen 21 Ekim 2026'da yayınlanan güvenli sürümlere yükseltmektir. 

Yamaları hemen uygulayamayan sistem yöneticileri için AWS WAF (Web Application Firewall) mühendisleri, POST isteklerinde PHPSESSID içeren ve gövdesinde PHP_SESSION_UPLOAD_PROGRESS anahtar kelimesi bulunduran şüpheli trafiği engelleyecek özel WAF kurallarının (AndStatement filtreleri) derhal aktif edilmesini öneriyor.

Kaynak:https://securitylabs.datadoghq.com/articles/php2shell-critical-vulnerabilities-in-php/

https://aws.amazon.com/tr/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/