PHP2Shell'de en değerli ipucu tek bir log satırında saklı: "in Unknown on line 0".

Durum: Doğrulandı (CISA KEV, 26 Ekim: aktif istismar) + Araştırmacı bulgusu (CrowdStrike, 21 ve 23 Ekim)

Ne oldu?

PHP, 21 Ekim'de motorun çekirdeğindeki iki kritik açığı (CVE-2026-109618, CVE-2026-109619) yamaladı. CrowdStrike aynı gün yayımladığı analizde, kontrollü testte tek bir anonim POST isteğiyle Apache mod_php üzerinde komut çalıştırmayı doğruladığını yazdı. Saldırı uygulama kodu çalışmadan gerçekleşiyor, sunucu HTTP 200 dönüyor. Geriye kalan tek iz, hata logundaki "Allowed memory size … exhausted … in Unknown on line 0" satırı.

CrowdStrike 23 Ekim'de sahada ve honeypot'larında başarılı istismar görmediğini bildirdi. CISA ise 26 Ekim'de iki açığı aktif istismar gerekçesiyle KEV'e ekledi.

Kimler etkileniyor?

CrowdStrike'a göre 7.x ve 8.x serilerindeki tüm sürümler. Yamalı sürümler: 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35. Gösterilen yolun çalışması için memory_limit değerinin post_max_size değerinin 4 katından küçük olması gerekiyor. Varsayılan ayarlar bunu sağlamıyor; büyük dosya yüklemesine göre ayarlanmış sunucular ve paylaşımlı hosting siteleri sağlayabiliyor.

İş açısından neden önemli?

Kimlik doğrulamasız kod çalıştırma: web shell, yapılandırma dosyalarındaki veritabanı ve API anahtarları, iç ağa geçiş.

Bence asıl ders şu: "Başarılı istismar görmedik"ten KEV kaydına geçiş yalnızca üç gün sürdü. Bu CrowdStrike'ın yanıldığı anlamına gelmiyor; bir ekibin kendi gözlem alanında doğru olan tespitin herkes için geçerli olmadığını hatırlatıyor. Türkiye ve Körfez'de e-ticaret, kurumsal siteler ve hosting büyük ölçüde PHP üzerinde. HTTP katmanında görünmeyen bir saldırının sonucunu loglarda ve uç noktada aramak gerekiyor.

Önerilen tek aksiyon:

PHP'yi resmi yamalı sürümlere yükseltin; CrowdStrike'ın önerdiği gibi container imajlarını yeniden derleyip Apache ve PHP-FPM worker'larını yeniden başlatın. Sonra hata loglarında "in Unknown on line 0" ile biten bellek tükenmesi kayıtlarını geriye dönük tarayın.

Sizin ekipleriniz bu satırı bugüne kadar "gürültü" diye mi filtreliyordu?

#PHP2Shell #SiberGüvenlik #ThreatIntelligence #VulnerabilityManagement #CrowdStrike