21 Ekim'de internetin büyük bir bölümü aynı anda bakım moduna girdi. DeviantArt ve Pokémon Home çevrimdışı oldu. Wikimedia, Wikipedia'nın arkasındaki pek çok servisi kapattı. Hollanda, Finlandiya ve Danimarka'daki kamu kurumları kamusal sitelerini yayından kaldırdı; Rotterdam Limanı ve birkaç Hollandalı hastane de aynı şeyi yaptı. Barındırma sağlayıcıları gece boyunca acil bakım yürüttü ve paketleri beklerken paylaşımlı sunucularda PHP özelliklerini kapattı.
Sebep, PHP çalışma zamanının kendisindeki iki kritik açıktı: CVE-2026-109618 ve CVE-2026-109619, her biri CVSS 9.2. İkisi de kimlik doğrulaması gerektirmeyen kod çalıştırmaya izin veriyor ve ikisi de çalışan süreç belleğinin sızmasına yol açıyor — yani aynı sürecin işlediği başka isteklere ait parolalar, oturum belirteçleri ve API anahtarları.
Ambargo erken kırıldı
CVE kimlikleri planlanan yayından iki gün önce sızdı; PHP ekibi bu yüzden bir gün erken sürüm çıkardı. Cloudflare, düzeltme daha yayınlanmadan saldırı trafiği bildirdi. CISA, NSA, Birleşik Krallık NCSC ve CERT-EU aynı talimatı verdi: şimdi yamalayın; bu mümkün değilse PHP sistemlerini yamalayana kadar çevrimdışına alın ya da kamusal internetten çıkarın.
Neden bu kadar geniş
W3Techs'e göre sunucu tarafı dili bilinen web sitelerinin %69,3'ü PHP kullanıyor. 21 Ekim'de Shodan, açıkça PHP sürümü bildiren 1.677.546 servis kaydı döndürdü.
Açık çalışma zamanında olduğu için etkilenen PHP üzerindeki her uygulama kapsamda: WordPress, Drupal, Magento, Laravel ve özel kod, hepsi. CISA'nın uyarısı işin sessiz kısmını yüksek sesle söyledi — PHP "çoğu zaman başka yazılımların bir bileşenidir ve yaygınlığı doğrudan gözlemlenemeyebilir."
Kör noktalar tanıdık olanlar. Yönetim panelleri, 80 ve 443 taramasının hiç dokunmadığı portları dinler: 2083, 2087, 8080, 8443, 8880. `/` altında statik bir sitesi olan bir sunucu hâlâ `/phpmyadmin/` altında phpMyAdmin ya da `/webmail/` altında Roundcube çalıştırıyor olabilir. `expose_php = Off` ayarı ya da `X-Powered-By` başlığını silen bir CDN kuralı, sürümü tam da insanların onu bulmak için kullandığı araçlardan saklar. Güvenlik duvarları ve barındırma panelleri — pfSense, OPNsense, FreePBX, cPanel, Plesk — kendi PHP'lerini getirir; yani gerçek düzeltme bir üretici güncellemesi olarak gelir. Eski bir `php:` tabanı üzerine kurulu konteyner imajları, biri onları yeniden inşa edene kadar o PHP'yi taşır. Hazırlık kopyaları, ajansların kurduğu kampanya siteleri ve unutulmuş satın alınmış alan adları ise envanterin tamamen dışında yaşar.
Yama ve insanların atladığı adım
Düzeltilmiş sürümler PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12. PHP 8.1 ve daha eskileri 5.4'e kadar etkileniyor — bu dallar taşınmalı ya da iki düzeltmeyi de geri taşıyan bir üretici paketiyle kapatılmalı; PHP, 7.4, 8.0 ve 8.1 için asgari kaynak geri taşımaları yayımladı.
Atlanan adım şu: düzeltilmiş paketi kurmak, hâlihazırda çalışan bir süreci değiştirmez. PHP-FPM, Apache ve LiteSpeed yeniden başlatılana kadar eski ikili dosya istekleri sunmaya devam eder. ProjectDiscovery'nin düzeltme rehberi kontrolü sert biçimde koyuyor — yükseltmeden sonra, diskte değiştirilmiş bir PHP derlemesini hâlâ çalıştıran her süreci listeleyin. Liste hiçbir şey yazdırmamalı.
Öncelikler de önemli. php.net, Apache `mod_php` sunucularını en yüksek risk olarak değerlendiriyor; çünkü tek bir kimlik doğrulamasız istek, herhangi bir uygulama kodu çalışmadan saldırıyı tetikleyebilir. Diğer uçta, açık port 9000 bir PHP-FPM varsayılan FastCGI dinleyicisidir; internetten yanıt veriyorsa kapatılmalı.
Yamalanmamış sunucularda en kötüsünü varsayın
Bu açıkların bellek sızıntısı yarısı, kesintiden daha uzun yaşayan kısımdır. Etkilenen bir sunucuya yamalamadan önce internetten erişilebiliyorduysa, çalışma varsayımı şu olmalı: süreç belleğinde tutulan sırlar açığa çıkmış olabilir. Veritabanı parolalarını, API anahtarlarını ve oturum imzalama anahtarlarını döndürün ve bir işaret beklemek yerine ihlal belirtilerine bakın.
ProjectDiscovery, rehberin yanında SecureTheWeb.org'u da başlattı: uyarıları Chaos — şirketin internet geneli açık servis dizini — ile eşleştiren ve etkilenen sürümü çalıştıran her alan adının `security@` adresine e-posta gönderen bir bildirim servisi. Bu iki CVE servisin ilk olayı ve bildirimler çoktan çıkmaya başladı. Bu, bir sonraki olay için makul bir model: interneti ayakta tutan altyapı çoğunlukla eski, çoğunlukla yönetilmeyen ve bir güvenlik ekibinin görebileceği bir yerde nadiren listelenen bir şey.
