CISA, KEV Kataloğuna İki PHP2Shell RCE Açığını Ekledi

CISA, iki PHP2Shell güvenlik açığının aktif olarak istismar edildiğini doğruladı ve bunları Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi. CVSS ölçeğinde her ikisi de 9.2 olarak derecelendirilen bu açıklar, etkilenen PHP kurulumlarında kimlik doğrulaması gerektirmeyen uzaktan kod yürütmeye olanak tanır. Perplexity'den Adel Karimi, 24 Ekim 2026'da honeypot sistemlerine karşı başarılı uzaktan kod yürütmeyi doğruladı.

CISA Ne Doğruladı

İki güvenlik açığı, bellek tükenmesi kaynaklı bozulma açığı olan CVE-2026-109618 ve eski iç istek durumu açığı olan CVE-2026-109619'dur. CISA, Karimi'nin kullanılabilir bellek ifşasıyla birlikte uzaktan kod yürütmenin doğrulandığını bildirmesinin ardından her ikisini de KEV kataloğuna ekledi. Karimi, yanıtın 800 KiB çözülmüş cookie dökümü sağladığını ve bu dökümden genel istismar aracının offsetleri kullanılarak türetilen bir fonksiyon adresinin sonraki yürütme yükünde göründüğünü söyledi. Ayrıca kanıtların zinciri kasıtlı olarak elverişli tek çalışanlı mod_php profilinde gösterdiğini ve bunun diğer çalışan sayılarında, PHP derlemelerinde veya uygulamalarda istismar güvenilirliğinin ölçümü olmadığını söyledi.

Yamalar ve Son Tarihler

Bu sorunlar, 21 Ekim 2026'da yayımlanan PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde ele alındı. Federal kurumların gerekli düzeltmeleri uygulamak için 29 Ekim 2026'ya kadar süresi var. Censys tarafından paylaşılan tahminlere göre 32,51 milyondan fazla PHP hizmeti hâlâ etkilenen bir sürümü çalıştırıyor. PHP, internetteki tüm web sitelerinin yaklaşık %70'inde kullanılıyor. Güvenlik açıklarının ciddiyeti, ABB, Arista Networks, Belden, Broadcom, Canon, Citrix, Dell, Dormakaba, F5, Hikvision, HP, HPE, Hitachi Energy, HMS Networks, Huawei, IBM, Ivanti, Johnson Controls, Mitel, Moxa, NETGEAR, Okta, QNAP, Rockwell Automation, Ruckus Wireless, Salesforce, Schneider Electric, Siemens, SonicWall, Splunk, Synology, Veeam, Wibu-Systems ve WordPress dahil olmak üzere çok sayıda yazılım, güvenlik ve devlet kuruluşundan uyarıların yayımlanmasına yol açtı.

İlgili Windows Derleme Sorunu

26 Ekim 2026 itibarıyla PHP Foundation, CVE-2026-111497'yi ele almak için Windows derlemeleri 8.5.12-1, 8.4.27-1, 8.3.36-1 ve 8.2.35-1'i de yayımladı. Bu açık, Brotli decoder kütüphanesinde sınırların dışına yazma güvenlik açığıdır ve ayrıca ayrıcalık yükseltmesi ile kimlik doğrulaması gerektirmeyen uzaktan kod yürütmeyle sonuçlanabilir. Broccoli2Shell, HTTP2Shell ve Node2Shell olarak da bilinen güvenlik açığı, Brotli'nin 1.0.3'ten 1.0.9'a kadar, 1.1.0 ve 1.2.0 sürümlerini etkiler. 1.0.10, 1.1.1 ve 1.2.1 sürümlerinde ve C kütüphanesini içeren Node.js, Bun, Envoy Proxy, Istio, .NET ve Python dahil diğer projelerde yamalandı. PHP Foundation, "PHP Windows derlemelerinde, savunmasız decoder'a otomatik HTTP yanıtı açımı etkinleştirildiğinde cURL uzantısı üzerinden erişilebilir," dedi. "Bu, cURL'de varsayılan olarak devre dışıdır, ancak uygulamalar ve HTTP istemci kütüphaneleri bunu etkinleştirebilir."

Önceki kapsam: VulnCheck, Üretim Sistemlerinde ASLR'yi Atlatan PHP2Shell İstismar Aracını Geliştirdi · PHP, PHP2Shell acil yamalarının ardından dar kurulumda yamalanmamış RCE riskine işaret ediyor

Kaynaklar: The Hacker News