PHP2Shell Teknik Analiz ve Tespit Rehberi

PHP2Shell Teknik Analiz ve Tespit Rehberi, PHP tabanlı web uygulamalarını etkileyen ve kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına (RCE) yol açabilen CVE-2026-109618 ile CVE-2026-109619 güvenlik açıklarını uçtan uca ele alan kapsamlı bir teknik dokümandır. Privia Security Red-Team Ekibi tarafından yürütülen tersine mühendislik ve araştırma çalışmaları sonucunda hazırlanan bu rehber, zafiyetin teknik mekanizmasını, tespit yöntemlerini ve savunma katmanlarını pratik bir yaklaşımla sunar.

Bu e-kitapta ne öğreneceksiniz?
Rehber boyunca PHP2Shell zafiyetlerinin bellek yönetiminden kaynaklanan kök nedenleri açıklanır. CVE-2026-109618’in bellek tükenmesi sonrası ortaya çıkan bellek bozulması, CVE-2026-109619’un ise serbest bırakılmış belleğin yeniden kullanılması (use-after-free) mekanizması ayrıntılı biçimde incelenir. Bununla birlikte Privia Security tarafından tespit edilen ve bellek bozulması yamasından bağımsız çalışabilen Chain A saldırı zinciri ele alınır.

Zafiyetin teknik anatomisi kapsamı
• PHP’nin Zend Bellek Yöneticisi ve istek yaşam döngüsünün çalışma mantığı
• Bellek tükenmesi (OOM) ve CVE-2026-109618’in istismar mekanizması
• Use-after-free ve CVE-2026-109619’un istekler arası bellek etkileşimi
• Hata geçmişi (backtrace) kayıtlarının istismardaki rolü
• PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürüm eşikleri ve destek durumu

Chain A saldırı zinciri kapsamı
• Oturum sabitleme (session fixation) tekniği
• session.upload_progress üzerinden dosya adı enjeksiyonu
• Yerel dosya dahil etme (LFI) ile komut çalıştırma
• Oturum dosyasının yapısı ve çok parçalı form ayrıştırma süreci

Tespit ve doğrulama kapsamı
• Privia Security tarafından geliştirilen sürüm tespit modülünün çalışma prensibi
• VULNERABLE, SAFE, UNKNOWN, NOT-PHP, TIMEOUT ve ERROR sonuçlarının yorumlanması
• Tekil ve toplu hedef tarama senaryoları ile örnek çıktılar
• CDN ve ters proxy arkasındaki sistemlerde sürüm tespitinin incelikleri

Savunma ve izleme kapsamı
• WAF katmanında engelleme yaklaşımları
• IBM QRadar, Splunk, Microsoft Sentinel ve Wazuh için hazır tespit kuralları
• Adli analiz sürecinde toplanacak log kaynakları ve incelenecek artefaktlar
• Operasyonel risk önceliklendirmesi ve kalıcı çözüm önerileri

Bu e-kitap, özellikle aşağıdaki ekipler için uygundur:
• Sızma testi uzmanları ve red team ekipleri
• SOC ve blue team analistleri
• PHP tabanlı uygulama geliştiren yazılım ekipleri
• Sistem ve ağ yöneticileri
• Kendi altyapısını değerlendirmek isteyen kurumların bilgi güvenliği birimleri

Neden önemli?
PHP2Shell zafiyetleri, kimlik doğrulaması gerektirmeyen tek bir özel hazırlanmış HTTP isteğinin, uygun koşullarda hedef sunucuda uzaktan kod çalıştırılması için yeterli olabilmesi nedeniyle kritik seviyede değerlendirilmektedir. Apache mod_php kullanılan ortamlarda uygulama kodu çalışmadan önce tetiklenebilen senaryolar, riskin uygulama güvenliği kontrollerinin ötesinde, PHP çalışma ortamı seviyesinde ele alınmasını zorunlu kılar. Üstelik sürüm güncellemesi yalnızca bellek bozulması yolunu kapatır. Chain A zinciri gerekli uygulama düzeyi ön koşullar sağlandığında yamadan bağımsız çalışmaya devam edebilir. Bu rehber hem zafiyetin tespitini hem de bu iki ayrı risk alanının birlikte yönetilmesini sağlayacak pratik bir referans sunar.

E-kitabı indirin
E-kitabı indirerek PHP2Shell zafiyetlerinin teknik mekanizmasını daha doğru analiz edebilir, kendi altyapınızdaki maruziyeti değerlendirebilir ve güvenlik kontrollerinizi güçlendirebilirsiniz.