Bir güvenlik araştırmacısı, web sitelerinin önemli bölümünü çalıştıran yazılımın en yeni sürümünde sunucuyu uzaktan ele geçirebildiğini söylüyor. Saldırı ise yalnızca belirli ayarlar ve hatalı site koduyla mümkün görünüyor.
Working RCE against PHP 8.5.12 (the 2026-10-21 security release that fixed CVE-2026-109618/109619).
Pure logic bug — no memory corruption, ASAN-clean, orthogonal to the CVE-2026-109618/19 class.
Receipt: uid=33(www-data) over HTTP, one-shot#infosec #php2shell #php https://t.co/4elH5wcjZH pic.twitter.com/rtP33SYXe2
PHP geliştiricileri 21 Ekim’de PHP 8.5.12 ile birlikte 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. Resmi duyuruya göre bu güncellemeler, kötü niyetli kişilerin hiçbir şifreye ihtiyaç duymadan sunucuda istedikleri kodu çalıştırmasına imkan tanıyan iki kritik açığı kapatıyor. Açıklar PHP’nin bellek yönetimindeki hatalardan kaynaklanıyordu.
PHP Foundation, sorunu geçici olarak önlemenin bir yolu olmadığını, tek güvenli seçeneğin güncellemek olduğunu açıkladı. Bu nedenle yeni sürümlere geçiş, site sahipleri ve barındırma şirketleri için öncelikli iş haline geldi.
Araştırmacının GitHub sayfasında paylaştığı bilgilere göre yeni yöntem, güncellemenin kapattığı bellek hatalarıyla ilgili değil. Saldırı, PHP’nin ziyaretçi oturumlarını kaydetme biçimindeki bir mantık zincirine dayanıyor. Araştırmacı bu yaklaşımın temelini başka bir araştırmacının daha önceki çalışmasına bağlıyor.
Yorum Yap