Cloudflare, PHP’nin 5.4 ve sonraki sürümlerini etkileyen iki kritik güvenlik açığına karşı tüm planlarda otomatik koruma devreye aldı. Ancak şirket, saldırıların önlenmesi için PHP’nin güncellenmesi gerektiği konusunda uyarıyor. Açıklar uzaktan kod çalıştırmaya imkan tanıyor
Calif.io, Wiz, OpenAI ve Quarkslab tarafından 21 Ekim’de duyurulan CVE-2026-109618 ve CVE-2026-109619 kodlu güvenlik açıkları, PHP çalışma ortamındaki bellek yönetimi hatalarından kaynaklanıyor. php2shell olarak adlandırılan açıklar özel hazırlanmış HTTP istekleri aracılığıyla tetiklenebiliyor.
İlk açıkta PHP, bellek yetersizliği nedeniyle bir isteği yarıda kestiğinde henüz tam olarak başlatılmamış verileri işlemeye çalışabiliyor. İkinci açıkta ise bir istek sırasında serbest bırakılan belleğe ait geçersiz referanslar sonraki isteklerde kullanılabiliyor. Bu durumlar hizmet kesintisine, hassas verilerin açığa çıkmasına ve uzaktan kod çalıştırılmasına yol açabiliyor.
PHP’nin web sitelerinin yaklaşık yüzde 70’inde kullanılması ve WordPress ile Magento gibi yaygın platformların altyapısında yer alması da açıkların potansiyel etkisini genişletiyor. Sorun PHP çalışma ortamından kaynaklandığı için yalnızca site kodlarını veya eklentileri güncellemek yeterli olmuyor.
Cloudflare tüm planlarda korumayı etkinleştirdi
Cloudflare, PHP Vakfı, OpenAI ve Wiz gibi kuruluşlarla yürüttüğü koordineli çalışma kapsamında güvenlik duvarı kurallarını kamuya açık duyurudan yaklaşık dokuz saat önce hazırlayıp devreye aldı. Şirket, açıkların resmi duyurudan önce sızdırılmasının ardından saldırı girişimleri gözlemlediğini ve saldırganların korumaları aşmak için isteklerini değiştirmeye çalıştığını bildirdi.
Cloudflare CEO’su Matthew Prince, saldırı girişimlerinin hızla arttığını belirtti. Prince’e göre açığın kamuoyuna duyurulmasından önceki 10 saatte binlerce saldırı girişimi tespit edilirken, duyurunun ardından ilk 45 dakikada bu sayı on binlere, iki saat içinde yüz binlere ulaştı. Saldırı girişimlerinin sayısı kısa süre içinde milyonları aştı.
Ücretsiz ve ücretli planlardaki Web Uygulaması Güvenlik Duvarı (WAF) kullanıcıları otomatik olarak koruma kapsamına alındı. Ücretsiz kullanıcılar için kurallar Cloudflare Managed Free Ruleset üzerinden sunulurken ücretli planlarda Cloudflare Managed Ruleset kullanılıyor. Ücretli planlardaki yöneticilerin kural setinin engelleme modunda çalıştığını kontrol etmesi öneriliyor.
Cloudflare ayrıca saldırıları daha isabetli belirlemek için aynı HTTP işleminin hem isteğini hem de sunucudan gelen yanıtını inceleyen Full Transaction Detection özelliğini geliştirdi. Bu yöntem, yalnızca istek verilerine dayanan kurallara kıyasla saldırı girişimlerini daha yüksek güvenle tespit etmeyi ve hatalı engellemeleri azaltmayı amaçlıyor. Eşleşen yanıtlar, kullanıcıya ulaşmadan engellenebiliyor.
Kalıcı çözüm PHP güncellemesi
Cloudflare’ın devreye aldığı kurallar ek bir savunma katmanı sağlasa da şirket bunların geçici bir önlem olduğunun altını çiziyor. PHP geliştiricilerinin yayımladığı güvenlik güncellemesinin mümkün olan en kısa sürede uygulanması gerekiyor. PHP sürümü barındırma sağlayıcısı tarafından yönetilen sitelerin yöneticileri, güncellemenin sağlayıcı tarafından yapıldığından emin olmalı.
Yöneticiler, Cloudflare panelindeki Security > Security Analytics > Events bölümünden engellenen istekleri ve eşleşen kuralları inceleyebiliyor. Gereksiz dosya yüklemelerini kısıtlamak ve yükleme boyutlarına sınır koymak da riski azaltabiliyor ancak bu önlemler PHP güncellemesinin yerini tutmuyor.
