Cloudflare php2shell güvenlik açığına karşı WAF koruması başlattı

Calif.io, Wiz, OpenAI ve Quarkslab araştırmacıları PHP çalışma zamanını etkileyen ve php2shell olarak adlandırılan iki kritik güvenlik açığını kamuoyuyla paylaştı. PHP 5.4 ve sonraki tüm sürümleri kapsayan CVE-2026-109618 ile CVE-2026-109619 kodlu açıklar, saldırganların bellek yönetimindeki aksaklıkları kullanarak uzaktan kod çalıştırmasına, veri sızdırmasına ve hizmet kesintisi yaratmasına imkan tanıyor. Cloudflare, koordineli yürütülen çalışmalar kapsamında resmi duyurudan yaklaşık 9 saat önce web uygulama güvenlik duvarı (WAF) kurallarını devreye alarak tüm kullanıcılarını koruma altına aldı.

Söz konusu açıklar, HTTP istekleri işlenirken meydana gelen beklenmedik hatalarda veya bellek yetersizliği durumlarında PHP'nin bellek alanını güvenli biçimde temizleyememesinden kaynaklanıyor. CVE-2026-109618 açığı bellek tükenmesi sırasında tamamlanmamış verilerin kullanılmasına yol açarken, CVE-2026-109619 ise önceki isteklerden arta kalan geçersiz bellek referanslarının yeni isteklerde okunmasına neden oluyor. İnternet genelindeki web sitelerinin yaklaşık yüzde 70'i PHP kullandığı için zafiyet WordPress ve Magento gibi yaygın platformları da doğrudan etkiliyor.

Saldırı girişimlerini engellemek amacıyla Cloudflare, hem gelen HTTP isteğini hem de sunucudan dönen yanıtı aynı anda inceleyen tam işlem tespiti özelliğini kullanıma sundu. Bu teknoloji, yalnızca istek verisine dayalı kuralların yetersiz kaldığı durumlarda yanıt sinyallerini analiz ederek hatalı pozitifleri düşürüyor ve zararlı yanıtların istemciye ulaşmasını engelliyor. Şirket, ücretsiz dahil tüm planlarda bu korumaları etkinleştirdiğini duyururken, WAF önlemlerinin geçici bir kalkan sunduğunu ve sistem yöneticilerinin PHP güvenlik yamalarını derhal uygulaması gerektiğini bildirdi.