Cloudflare PHP Açıklarına Karşı Otomatik Koruma Sağladı

Cloudflare PHP Açıklarına Karşı Otomatik Koruma Sağladı

Hızlı Özet

• Ne oldu? PHP’de CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen, CVSS 9.2 puanlık iki kritik uzaktan kod yürütme (RCE) açığı ortaya çıktı. Cloudflare, bu açıklara karşı ücretsiz dahil tüm WAF planlarında korumayı otomatik olarak devreye aldı.
• Neden önemli? PHP, internet sitelerinin yaklaşık %70’inde kullanılıyor. Açıklar, WordPress ve Magento gibi yaygın platformları da etkileyebilecek potansiyele sahip.
• Yeni teknoloji: Cloudflare, “full transaction detection” adını verdiği yeni bir WAF yeteneğini ilk kez kullanıma sundu. Bu sistem, sadece isteği değil sunucunun yanıtını da inceleyerek daha isabetli engelleme yapıyor.
• Kritik uyarı: WAF koruması PHP güncellemesinin yerini tutmuyor. Cloudflare, tüm kullanıcılara PHP yamalarını yüklemelerini ve WAF’ı açık tutmalarını öneriyor.

Cloudflare, 21 Ekim 2026’da PHP’de keşfedilen iki kritik güvenlik açığına karşı harekete geçti. Şirket, php2shell olarak adlandırılan bu açıkların kamuoyuna duyurulmasından yaklaşık dokuz saat önce web uygulama güvenlik duvarı (WAF) korumalarını devreye aldı. Bu hamle, dünya genelinde milyonlarca PHP tabanlı web sitesini potansiyel saldırılara karşı koruma altına aldı.

Aşağıda, Cloudflare’in PHP açıklarına karşı otomatik korumasının ne anlama geldiğini, hangi sistemleri etkilediğini ve site sahiplerinin bilmesi gerekenleri detaylıca ele alıyoruz.

PHP2Shell Açıkları Nedir? Neden Bu Kadar Kritik?

PHP güvenlik ekibi, 20 Ekim 2026’da CVE-2026-109618 ve CVE-2026-109619 numaralı iki açığı duyurdu. Her iki açık da CVSS v4.0 ölçeğinde 9.2 puanla “kritik” seviyede derecelendirildi. Açıklar, PHP 5.4 ve sonraki tüm sürümleri etkiliyor.

Teknik olarak sorun, PHP’nin bellek yönetiminde yaşanan bir hatadan kaynaklanıyor. Normalde PHP, bir HTTP isteğini işlerken ihtiyaç duyduğu belleği ayırır ve işlem bitince serbest bırakır. Ancak beklenmedik bir kesinti (örneğin bellek yetersizliği) durumunda PHP, belleği güvenli bir şekilde temizleyemiyor ve hatalı verilere erişmeye çalışıyor. Saldırganlar, özel olarak hazırlanmış HTTP trafiğiyle bu hatayı tetikleyerek uzaktan kod yürütebiliyor (RCE), hizmet dışı bırakma (DoS) saldırısı yapabiliyor veya hassas verileri sızdırabiliyor.

Bu açıkların potansiyel etkisi büyük: VirusTotal analizine göre internete açık 5,1 milyon IP adresi PHP çalıştırıyor ve bunların 758 bini artık desteklenmeyen (end-of-life) PHP sürümlerini kullanıyor. Üstelik sorun yalnızca PHP’nin kendisiyle sınırlı değil; WordPress, Magento ve benzeri platformlar da PHP altyapısını kullandığı için etki alanı genişliyor.

Cloudflare’in Otomatik Koruması: Ne Yapıldı?

Cloudflare, açıkların kamuoyuna duyurulmasından yaklaşık 9 saat önce, 21 Ekim 2026 saat 03:02 UTC itibarıyla tüm WAF kullanıcılarını otomatik olarak koruma altına aldı. Bu koruma, ücretsiz planlar dahil WAF’ı etkin olan tüm müşterileri kapsıyor.

Cloudflare’in devreye aldığı önlemler şunları içeriyor:

• Ücretsiz Ruleset’e iki yeni kural: Bu kurallar, saldırıları engelleme (Block) modunda çalışacak şekilde yapılandırıldı.
• Managed Ruleset’e dört yeni kural: İki kural engelleme, iki kural ise günlükleme (Log) modunda eklendi. Ücretli plan kullanıcılarının Managed Ruleset’in “Block” modunda etkin olduğunu doğrulaması öneriliyor.
• Otomatik devreye alma: Kurallar, müşterilerin herhangi bir işlem yapmasına gerek kalmadan Cloudflare tarafından otomatik olarak dağıtıldı.

Cloudflare, saldırganların korumayı aşmak için saldırı yüklerini (payload) sürekli değiştirdiğini gözlemlediğini ve güvenlik analistlerinin bu varyasyonlara karşı kuralları güncellemeye devam ettiğini belirtiyor.

Yeni Nesil Koruma: Full Transaction Detection Nedir?

Cloudflare’in bu açıklara karşı kullandığı en önemli yenilik, “full transaction detection” (tam işlem algılama) adı verilen yeni bir WAF yeteneği oldu. Geleneksel WAF’lar yalnızca gelen isteği incelerken, bu yeni sistem istek ve sunucunun yanıtını aynı HTTP işlemi içinde birlikte değerlendiriyor.

Bu yaklaşımın avantajı şu: Tek başına istek verisi, bir saldırı girişimini meşru trafikten ayırt etmek için her zaman yeterli değil. Sunucunun verdiği yanıt ise saldırının başarılı olup olmadığına dair ek bağlam sağlıyor. Sistem, şüpheli bir yanıtı istek sahibine ulaşmadan engelleyebiliyor. Bu da hem daha az yanlış pozitif hem de daha etkili koruma anlamına geliyor.

Cloudflare, php2shell korumalarının bu yeni yeteneği kullanan ilk yönetilen algılamalar olduğunu açıkladı. Şirket ayrıca, WAF’ın atlatılıp atlatılamayacağını test etmek için bir Capture the Flag (CTF) yarışması başlattığını duyurdu. Bu yarışmada güvenlik araştırmacıları, kasıtlı olarak savunmasız bırakılmış bir PHP kurulumunu Cloudflare WAF’ın arkasına yerleştirip korumayı aşmaya çalışıyor.

WAF Koruması Yeterli mi? PHP Güncellemesi Neden Hâlâ Şart?

Cloudflare’in otomatik koruması önemli bir güvenlik katmanı sağlasa da tek başına yeterli değil. Hem Cloudflare hem de bağımsız güvenlik uzmanları, WAF’ın PHP yamalarının yerini tutmadığı konusunda hemfikir.

Bunun birkaç nedeni var:

• WAF yalnızca Cloudflare üzerinden geçen trafiği korur: Eğer sunucunuza doğrudan (Cloudflare proxy’sini atlayarak) erişilebiliyorsa, WAF koruması devre dışı kalır.
• WAF kuralları %100 garanti vermez: Saldırganlar sürekli yeni atlatma yöntemleri geliştiriyor. Cloudflare, kuralları güncellese de savunmanın derinlikli olması gerekiyor.
• Asıl sorun PHP çalışma zamanında: Açık, uygulama kodunda veya eklentilerde değil, doğrudan PHP motorunda. Bu nedenle eklenti güncellemek sorunu çözmüyor; PHP’nin kendisinin güncellenmesi gerekiyor.

PHP güvenlik ekibi, açıkları kapatan yamaları 21 Ekim 2026’da yayımladı. Cloudflare ve diğer güvenlik kuruluşları, tüm site sahiplerine en kısa sürede PHP sürümlerini güncellemelerini ve WAF korumalarını açık tutmalarını tavsiye ediyor.

Cloudflare PHP Koruması: Plan Bazında Karşılaştırma

Aşağıdaki tablo, Cloudflare’in farklı planlarında sunduğu WAF korumasının bu açıklar özelindeki durumunu özetliyor.

Not: Tüm planlarda WAF’ın etkin olması ve kuralların “Block” modunda çalışması, korumanın fiilen devreye girmesi için önkoşuldur. WAF devre dışıysa veya yalnızca “Log” modundaysa, yeni kurallar saldırıları engellemez.

Sıkça Sorulan Sorular

Cloudflare’in PHP koruması ücretsiz mi?

Evet. Cloudflare, php2shell açıklarına karşı geliştirdiği WAF kurallarını ücretsiz planlar dahil tüm WAF etkin müşterilerine otomatik olarak sundu. Ancak korumanın fiilen çalışması için WAF’ın etkin ve kuralların “Block” modunda olması gerekiyor.

PHP’mi güncellemezsem ne olur?

WAF koruması sizi Cloudflare üzerinden gelen saldırılara karşı büyük ölçüde korur. Ancak sunucunuza doğrudan erişim varsa veya WAF kuralları atlatılırsa, sisteminiz uzaktan kod yürütme (RCE) saldırılarına açık kalır. Cloudflare ve PHP güvenlik ekibi, WAF’a ek olarak PHP yamalarının yüklenmesini kesinlikle öneriyor.

Hangi PHP sürümleri etkileniyor?

Açıklar, PHP 5.4 ve sonraki tüm sürümleri etkiliyor. Bu, PHP 8.x dahil olmak üzere çok geniş bir yelpazeyi kapsıyor. PHP güvenlik ekibi, 21 Ekim 2026’da yamaları yayımladı; en kısa sürede güncel sürüme geçilmesi gerekiyor.

WordPress sitem etkilenir mi?

Evet, dolaylı olarak etkilenebilir. WordPress, PHP altyapısı üzerinde çalıştığı için PHP çalışma zamanındaki bir açık, WordPress sitelerini de riske atar. Ancak sorun WordPress kodunda veya eklentilerinde olmadığı için WordPress güncellemesi tek başına yeterli değil; sunucudaki PHP sürümünün güncellenmesi şart.

Son not: Cloudflare’in otomatik WAF koruması, kritik bir açığın kamuoyuna duyurulmasından saatler önce devreye alınması bakımından etkileyici bir hızlı müdahale örneği. Ancak bu koruma, savunmanın yalnızca bir katmanı. Kalıcı güvenlik için PHP sürümünüzü güncellemeyi, WAF’ınızı etkin tutmayı ve Cloudflare’in yayımladığı kural güncellemelerini takip etmeyi ihmal etmeyin. Unutmayın: WAF sizi korur, ama yamalanmamış bir PHP her zaman risktir.