Değişiklikten önce kanıtı koruyun
Bulunma zamanı, alan adı, örnek, ortam, belirtiler ve son güvenilir durumu kaydedin. Asıl günlükleri saat dilimiyle, bulut denetimini ve yetkili anlık görüntüleri alın. Kopyaları kısıtlayıp hash kaydedin. Çerez, token veya müşteri verisini açık tarayıcılara göndermeyin. Kanıt almadan günlük/dosya silmeyin.
Olası sızmayı sınırlayın
Etkin kötüye kullanımda erişimi kısıtlayın veya örnekleri yük dengeleyiciden çıkarın, gereken kanıtı koruyun. Sağlayıcı veya olay ekibini dahil edin. Tüm PHP ortamlarını sayın, iki CVE’yi yamalayın, işçileri değiştirin, komşuları inceleyin. WAF/geçici ayarlar erişimi, çalınan bilgileri veya kalıcılığı kaldırmaz. Sınırlamayı geciktirmeyin.
Güvenilir durumdan geri dönün
Doğrulanmış sızmada güvenilir görüntüler ve doğrulanmış veriden yeniden kurun; sadece webshell silmeyin. Hesap ve kalıcılığı kaldırın, temiz cihazdan etkilenen sırları değiştirin, sınırlamadan sonra oturumları geçersiz kılın. Web ortamı, kopyalar ve işlevleri doğrulayın. Bağlantıları/girişleri izleyin, kapsam ve bildirimleri ekiple belgeleyin.
Birincil kaynaklar ve ek okumalar
PHP security teamAslını oku ↗CVE-2026-109618Aslını oku ↗CVE-2026-109619Aslını oku ↗Araştırma ve uygulama rehberleri
PHP2Shell araçları
Herkese açık siteleri, yerel yapılandırma ve günlükleri inceleyin ya da açık kaynak araçları bulun. Her sonuç kanıtını ve sınırlarını açıklar.
01PHP2Shell basitçe nedir?
PHP, WordPress, Laravel ve eklentilerin motorudur. Eklenti güncellemesi PHP’yi güncellemez. İki bellek hatası anormal istek temizliğini veri sızıntısı veya kod çalıştırmaya dönüştürebilir. Açık site kontrolü yalnızca ipucu verir; gerçek Web çalışma ortamı ve yamayı yönetici doğrulamalıdır.
02Girişim mi, başarılı sızma mı?
Tuhaf multipart veya WAF uyarısı girişim olabilir. OOM, SIGSEGV/SIGABRT ve HTTP 500 artışlarının sıradan nedenleri de vardır. Beklenmeyen PHP alt süreçleri, bağlantılar, dosyalar ve hesaplar incelenmelidir. Bellek sızıntısı webshell veya dosya bırakmayabilir; temiz dosya taraması dışlamaz.
03Değişiklikten önce kanıtı koruyun
Bulunma zamanı, alan adı, örnek, ortam, belirtiler ve son güvenilir durumu kaydedin. Asıl günlükleri saat dilimiyle, bulut denetimini ve yetkili anlık görüntüleri alın. Kopyaları kısıtlayıp hash kaydedin. Çerez, token veya müşteri verisini açık tarayıcılara göndermeyin. Kanıt almadan günlük/dosya silmeyin.
04Wiz ve Calif’i doğru okumak
Araştırma istekler arası hataları açıklar. CVE-2026-109618 mod_php RCE gösterir; FPM yatkınlığı kaynak analizine dayanır, bu CVE için tam FPM istismarı gösterilmez. CVE-2026-109619 ayrıca uygulamaya bağlı FPM upload-progress yolu doğrular. Her SAPI’nin kanıtını ilgili GHSA’dan okuyun.
05Cloudflare: yanıt da önemlidir
Cloudflare istek ve origin yanıtını birleştirerek şüpheli yanıtı olası sızıntıdan önce engeller. Shell olmadan da yararlıdır. Tarihsel dağıtım hesabınızın kapsamını garanti etmez; kural, rota, istisna ve olayları doğrulayın. Doğrudan origin ve proxy dışı sunucular da yamalanmalıdır.