PHP2Shell alarmı: Onlayer’ın taradığı Türkiye sitelerinin yüzde 35,8’i riskli sürümlerde

İnternet sitelerinin altyapısında yaygın olarak kullanılan PHP’deki iki açık, uygun koşullarda saldırganların kimlik doğrulaması yapmadan sunucuda kod çalıştırmasına imkân verebiliyor. PHP2Shell adıyla gündeme gelen CVE-2026-109618 ve CVE-2026-109619, 21 Ekim’de kamuoyuna duyuruldu. Her iki açık da CVSS 4.0 ölçeğinde 9,2 önem puanına sahip. Sorun, sitelerin kendi uygulama kodundan ziyade PHP’nin istekleri işleme biçiminden kaynaklanıyor.

Bu ayrım, e-ticaret siteleri açısından önemli. Güvenlik şirketi Wiz, güncel WordPress, Drupal ve Joomla kurulumları üzerinde yaptığı laboratuvar çalışmalarında açıkların uzaktan kod çalıştırmak için kullanılabildiğini gösterdi. Bulgular, bu sistemleri kullanan her sitenin ele geçirildiğini göstermiyor; uygulama güncel olsa bile alttaki PHP sürümünün ayrıca kontrol edilmesi gerektiğine işaret ediyor.

Tehdide yönelik hareketlilik, duyurudan önce başladı. AWS, saldırı girişimlerini izlemek için kullandığı sistemlerde 17 Ekim’de bir istismar denemesi tespit etti. Şirket, gözlemlenen denemenin gerçek bir üretim ortamında başarılı olup olmayacağının bilinmediğini belirtiyor. Dolayısıyla tespit edilen girişimler, doğrulanmış site ihlalleri olarak yorumlanmamalı.

Türkiye’deki üye işyeri sitelerinde tablo

Üye işyeri risk izleme şirketi Onlayer, 22 Ekim itibarıyla 20 pazarda yaklaşık 1,4 milyon erişilebilir üye işyeri sitesini kamuya açık teknik işaretler üzerinden taradı. Türkiye örneklemindeki sitelerin yüzde 36,2’sinde PHP kullanıldığını belirleyen şirket, bu sitelerin yüzde 98,9’unun açıkların duyurulduğu sırada etkilenebilir sürümlerde bulunduğunu hesapladı. Buna göre taranan Türkiye sitelerinin yaklaşık yüzde 35,8’i riskli PHP sürümleri kullanıyordu.

Bu oran, Türkiye’deki bütün internet sitelerine ilişkin bir ölçüm değil. Onlayer’ın üye işyeri örneklemine dayanıyor; şirket, sürümü tespit edilebilen sitelerden elde ettiği dağılımı PHP kullanan sitelerin geneline uyguluyor. Aynı yöntemle diğer pazarlar için hesaplanan oran yüzde 45,7. Türkiye’deki daha düşük oran, tek başına daha iyi bir güncelleme performansına işaret etmiyor; veride PHP kullanımının daha düşük olması da belirleyici.

Taramanın dikkat çeken diğer bulgusu, tespit edilen PHP kurulumlarının yüzde 52,1’inin PHP 8.1 veya daha eski sürümlerde çalışması. Olağan güvenlik desteği sona ermiş bu sürümleri kullanan işletmeler için çözüm, desteklenen bir sürüme geçmek veya kullandıkları dağıtımın sağladığı güvenlik düzeltmesini doğrulamak. Onlayer CEO’su Kıvanç Harputlu, ayrımı şöyle özetliyor: “Güncel sürüm kullanan işyerleri için çözüm, birkaç dakikalık bir güncelleme, eski sürüm kullananlar için ise planlı bir yükseltmedir.”

Şirketin yeniden taradığı, desteklenen PHP sürümlerini kullanan sitelerde güncellenme oranı 21 Ekim akşamındaki yüzde 5,7’den 22 Ekim içinde yüzde 29,9’a çıktı. Bu artış yalnızca söz konusu yeniden tarama grubunu gösteriyor; bütün üye işyerlerinin güncelleme oranı olarak okunmamalı. Onlayer, bulgularını çalıştığı banka ve ödeme kuruluşlarıyla paylaşarak düzeltmeleri izlediğini belirtiyor.

PHP, açıkları gidermek için 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. Saldırı trafiğine karşı ek korumalar sağlanabilse de kalıcı çözüm, kullanılan kurulum için uygun güvenlik düzeltmesinin uygulanması ve sunucuda çalışan sürümün doğrulanması.