PHP çekirdeğindeki iki kritik açık sunucuları uzaktan kod çalıştırma riskine soktu

PHP geliştirici ekibi, çekirdek motorda keşfedilen ve PHP2Shell olarak adlandırılan iki kritik güvenlik açığını kapatmak amacıyla acil güncellemeler yayımladı. CVE-2026-109618 ve CVE-2026-109619 kodlu zafiyetler, kimlik doğrulaması yapmamış saldırganların sunucu belleğini sızdırmasına ve doğrudan kabuk komutları çalıştırmasına imkan tanıyor. Açıklar doğrudan C çalışma zamanı katmanında yer aldığı için WordPress, Laravel ve Drupal gibi yaygın platformlar varsayılan kurulumlarında savunmasız kaldı.

Sorun, PHP'nin HTTP istekleri arasında kalıcı C süreçlerini yeniden kullanma ve bellek tükenmesi durumlarında longjmp() çağrısıyla acil çıkış yapma mimarisinden kaynaklandı. Saldırganlar, özel olarak hazırlanmış çok parçalı form yüklemeleriyle PHP'nin 128 MB'lık bellek sınırını önceden aşmasını sağlayarak dahili veri yapılarını temizleme adımlarını atlatmayı başardı. Bu durum, istekler arası sahipsiz işaretçiler bırakarak sonraki ziyaretçilerin belleğine müdahale edilmesine ve uzaktan kod yürütülmesine zemin hazırladı.

PHP ekibi açıkları gidermek için bellek yetersizliği yönetiminde mimari değişiklikler yaptı ve istek öncesi global değişkenleri koşulsuz sıfırlama mekanizmasını devreye aldı. Güvenlik analistleri, zafiyetin temel bileşenlerinin 2004 yılından bu yana eğitim verilerinde ve hata bildirimlerinde yer aldığını, yapay zeka modellerinin ise insan araştırmacıların yönlendirmesiyle istismar geliştirme maliyetini düşürdüğünü belirtti. İnternetteki PHP sunucularının yüzde 59'unun resmi destek almayan eski sürümleri çalıştırması tehlikenin boyutunu artırdı.