Cloudflare: yanıt da önemlidir

Cloudflare istek ve origin yanıtını birleştirerek şüpheli yanıtı olası sızıntıdan önce engeller. Shell olmadan da yararlıdır. Tarihsel dağıtım hesabınızın kapsamını garanti etmez; kural, rota, istisna ve olayları doğrulayın. Doğrudan origin ve proxy dışı sunucular da yamalanmalıdır.

CloudflareAslını oku ↗

Akamai, Imperva ve Unit 42

Akamai Adaptive Security Engine 3000991 v1, Unit 42 Threat ID 543004 ve envanter, Imperva katmanlı koruma anlatır. Ürün özellikleri evrensel WAF kuralları değildir. Güncel duyuru, etkin politika ve trafik yolunu kontrol edin. Bir engelleme önceki girişimlerin başarısızlığını kanıtlamaz.

AkamaiAslını oku ↗ImpervaAslını oku ↗Palo Alto Networks Unit 42Aslını oku ↗

Corelight ve Cisco Talos

Corelight Zeek/Suricata yayımlar. Potentially_Affected_PHP_Version envanterdir, istek/oturum ilişkisinden ayrıdır. HTTP görünürlüğü gerekir; bazı eşikler geçicidir. Güncel duyuruları doğrulayın. Talos Snort 67359, 67360, 67375 belirtir. Uyarı yokluğu veya gizli başlık güvenlik kanıtı değildir.

CorelightAslını oku ↗Cisco TalosAslını oku ↗

Uç nokta kanıtı ne gösterir?

CrowdStrike istismar sonrası etkinliklere korumayı anlatır. PHP alt süreçlerini, shell, bağlantı ve kalıcılığı Web zaman çizgisine bağlayın. İncelemeyi güçlendirir; shell yokluğu bellek sızıntısını dışlamaz. İddiaları ürün/tarihle ilişkilendirin, ağ ve sunucuyu birlikte inceleyin.

CrowdStrikeAslını oku ↗

Birincil kaynaklar ve ek okumalar

PHP security teamAslını oku ↗CVE-2026-109618Aslını oku ↗CVE-2026-109619Aslını oku ↗

Araştırma ve uygulama rehberleri

PHP2Shell araçları

Herkese açık siteleri, yerel yapılandırma ve günlükleri inceleyin ya da açık kaynak araçları bulun. Her sonuç kanıtını ve sınırlarını açıklar.

PHP2Shell basitçe nedir?

PHP, WordPress, Laravel ve eklentilerin motorudur. Eklenti güncellemesi PHP’yi güncellemez. İki bellek hatası anormal istek temizliğini veri sızıntısı veya kod çalıştırmaya dönüştürebilir. Açık site kontrolü yalnızca ipucu verir; gerçek Web çalışma ortamı ve yamayı yönetici doğrulamalıdır.

Girişim mi, başarılı sızma mı?

Tuhaf multipart veya WAF uyarısı girişim olabilir. OOM, SIGSEGV/SIGABRT ve HTTP 500 artışlarının sıradan nedenleri de vardır. Beklenmeyen PHP alt süreçleri, bağlantılar, dosyalar ve hesaplar incelenmelidir. Bellek sızıntısı webshell veya dosya bırakmayabilir; temiz dosya taraması dışlamaz.

Değişiklikten önce kanıtı koruyun

Bulunma zamanı, alan adı, örnek, ortam, belirtiler ve son güvenilir durumu kaydedin. Asıl günlükleri saat dilimiyle, bulut denetimini ve yetkili anlık görüntüleri alın. Kopyaları kısıtlayıp hash kaydedin. Çerez, token veya müşteri verisini açık tarayıcılara göndermeyin. Kanıt almadan günlük/dosya silmeyin.

Wiz ve Calif’i doğru okumak

Araştırma istekler arası hataları açıklar. CVE-2026-109618 mod_php RCE gösterir; FPM yatkınlığı kaynak analizine dayanır, bu CVE için tam FPM istismarı gösterilmez. CVE-2026-109619 ayrıca uygulamaya bağlı FPM upload-progress yolu doğrular. Her SAPI’nin kanıtını ilgili GHSA’dan okuyun.