Cloudflare, PHP Açıklarına Karşı Otomatik Koruma Sağladı: Saldırılar Milyonları Aştı

Cloudflare, PHP'nin 5.4 ve sonraki sürümlerini etkileyen iki kritik güvenlik açığına karşı ücretsiz ve ücretli tüm planlarında otomatik koruma kurallarını devreye aldı. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen açıkların uzaktan kod çalıştırılmasına imkân tanıyabileceği belirtilirken, şirket saldırı girişimlerinin kısa sürede milyonları aştığını bildirdi. Cloudflare'ın sunduğu koruma ek bir güvenlik katmanı oluştururken şirket, riskin kalıcı olarak giderilmesi için PHP sistemlerinin güncellenmesi gerektiği uyarısında bulunuyor.

PHP Açıkları Sunucularda Uzaktan Kod Çalıştırılmasına Yol Açabilir

21 Ekim'de Calif.io, Wiz, OpenAI ve Quarkslab tarafından duyurulan iki güvenlik açığı, PHP çalışma ortamındaki bellek yönetimi hatalarından kaynaklanıyor. php2shell adı verilen bu açıklar, özel olarak hazırlanmış HTTP istekleriyle tetiklenebiliyor ve etkilenen sistemlerde hizmet kesintisi, hassas verilerin açığa çıkması veya uzaktan kod çalıştırılması gibi riskler oluşturabiliyor.

İlk güvenlik açığında PHP, bellek yetersizliği nedeniyle bir isteği yarıda kestiğinde henüz tam olarak başlatılmamış verileri işlemeye çalışabiliyor. İkinci açıkta ise bir istek sırasında serbest bırakılan belleğe ait geçersiz referanslar, sonraki isteklerde kullanılabiliyor. Her iki durum da PHP çalışma ortamında güvenlik sorunlarına neden olabiliyor.

Açıkların potansiyel etkisini artıran unsurlardan biri, PHP'nin internet sitelerinde yaygın biçimde kullanılması. Verilen bilgilere göre web sitelerinin yaklaşık yüzde 70'i PHP kullanırken WordPress ve Magento gibi yaygın platformlar da bu altyapıdan yararlanıyor.

Sorunun doğrudan PHP çalışma ortamındaki hatalardan kaynaklanması nedeniyle yalnızca internet sitesinin kodlarını veya eklentilerini güncellemek yeterli olmuyor. Sistemde kullanılan PHP sürümünün de güvenlik düzeltmelerini içeren bir sürüme yükseltilmesi gerekiyor.

Cloudflare Koruma Kurallarını Duyurudan Önce Hazırladı

Cloudflare, PHP Vakfı, OpenAI ve Wiz gibi kuruluşlarla yürütülen koordineli çalışma kapsamında güvenlik duvarı kurallarını kamuya açık duyurudan yaklaşık dokuz saat önce hazırlayıp devreye aldı. Şirket, açıkların resmî duyurudan önce sızdırılmasının ardından saldırı girişimleri gözlemlediğini ve saldırganların koruma mekanizmalarını aşmak amacıyla HTTP isteklerini değiştirmeye çalıştığını bildirdi.

Cloudflare'ın devreye aldığı kurallar, şirketin Web Uygulaması Güvenlik Duvarı (WAF) hizmetini kullanan ücretsiz ve ücretli müşterileri kapsıyor. Böylece müşterilerin korumadan yararlanabilmesi için her birinin saldırılara yönelik kuralları baştan oluşturması gerekmiyor.

Ücretsiz planlardaki kullanıcılar için koruma, Cloudflare Managed Free Ruleset üzerinden sağlanıyor. Ücretli planlarda ise Cloudflare Managed Ruleset kullanılıyor. Şirket, ücretli planlardaki yöneticilerin ilgili kural setinin engelleme modunda çalıştığını kontrol etmesini öneriyor.

Bu yaklaşım, PHP güvenlik açıklarından yararlanmayı amaçlayan isteklerin internet sitesinin sunucusuna ulaşmadan engellenmesini hedefliyor. Ancak koruma kurallarının etkinleştirilmiş olması, PHP güncellemesini gereksiz hâle getirmiyor.

Saldırı Girişimleri Kısa Sürede Milyonları Aştı

Cloudflare CEO'su Matthew Prince, güvenlik açıklarına yönelik saldırı girişimlerinin kısa süre içinde hızla arttığını belirtti. Prince'in aktardığı verilere göre kamuoyuna duyurudan önceki 10 saat içinde binlerce saldırı girişimi tespit edildi.

Duyurunun ardından ilk 45 dakikada saldırı girişimlerinin sayısı on binlere, iki saat içinde ise yüz binlere ulaştı. Şirketin açıklamasına göre saldırı girişimleri kısa süre içinde milyonları aştı.

Saldırganların koruma mekanizmalarını aşmak için isteklerini değiştirmeye çalışması, Cloudflare'ın savunma kurallarını geliştirmesinde dikkate aldığı unsurlar arasında yer aldı. Şirket, yalnızca gelen HTTP isteğine bakmak yerine isteği ve sunucunun bu isteğe verdiği yanıtı birlikte değerlendiren bir yöntem de geliştirdi.

Bildirilen rakamlar saldırı girişimlerinin ölçeğini ortaya koyarken, her girişimin başarılı olduğu veya milyonlarca internet sitesinin ele geçirildiği anlamına gelmiyor. Cloudflare'ın devreye aldığı sistemler, söz konusu girişimlerin tespit edilmesi ve engellenmesi amacıyla çalışıyor.

Full Transaction Detection Saldırıları Daha Hassas Tespit Etmeyi Hedefliyor

Cloudflare, saldırı girişimlerini daha isabetli belirlemek amacıyla Full Transaction Detection adlı özelliği geliştirdi. Bu sistem, aynı HTTP işleminin hem sunucuya gönderilen isteğini hem de sunucudan dönen yanıtını inceliyor.

Yalnızca istek verilerine dayanan kurallardan farklı olarak bu yöntem, bir işlemin iki tarafını birlikte değerlendirerek saldırı girişimlerinin daha yüksek güvenle belirlenmesini amaçlıyor. Şirket ayrıca bu yaklaşımın hatalı engellemeleri azaltmaya yardımcı olmasını hedefliyor.

Kurallarla eşleşen yanıtlar, kullanıcıya ulaşmadan engellenebiliyor. Böylece sistem, yalnızca şüpheli bir isteğin varlığına değil, işlem sonucunda ortaya çıkan yanıta ilişkin verilere de dayanarak karar verebiliyor.

Cloudflare'ın bu çalışması, güvenlik duvarı kurallarının değişen saldırı girişimlerine karşı daha etkili kullanılmasını amaçlıyor. Bununla birlikte şirket, bu korumanın PHP çalışma ortamındaki güvenlik açıklarını ortadan kaldıran kalıcı bir çözüm olmadığını vurguluyor.

PHP Güncellemesi Kalıcı Koruma İçin Gerekli

Cloudflare'ın devreye aldığı otomatik kurallar, PHP açıklarına karşı ek bir savunma katmanı sağlıyor. Ancak şirket, sistem yöneticilerinin güvenlik güncellemelerini mümkün olan en kısa sürede uygulaması gerektiğini belirtiyor.

PHP geliştiricilerinin yayımladığı güvenlik güncellemeleri, açıkların bulunduğu çalışma ortamını düzeltmek için gerekli. PHP sürümü doğrudan site yöneticisi tarafından değil, barındırma sağlayıcısı tarafından yönetiliyorsa güncellemenin sağlayıcı tarafından uygulanıp uygulanmadığının kontrol edilmesi gerekiyor.

Yöneticiler ayrıca Cloudflare kontrol panelindeki Security > Security Analytics > Events bölümünden engellenen istekleri ve bu isteklerle eşleşen güvenlik kurallarını inceleyebiliyor. Bu kayıtlar, sistemlerine yönelik şüpheli istekleri takip etmelerine yardımcı oluyor.

Gereksiz dosya yüklemelerini kısıtlamak ve yükleme boyutlarına sınır koymak da riski azaltmaya yönelik ek önlemler arasında bulunuyor. Ancak bu tür tedbirler, PHP çalışma ortamının güncellenmesinin yerini tutmuyor. Kalıcı koruma için güvenlik düzeltmelerinin uygulanması gerekiyor.

PHP güvenlik açıkları hangi sürümleri etkiliyor?

Verilen bilgilere göre CVE-2026-109618 ve CVE-2026-109619 açıkları, PHP'nin 5.4 ve sonraki sürümlerini etkiliyor.

Cloudflare hangi planlarda koruma sağlıyor?

Cloudflare, ücretsiz ve ücretli planlarında otomatik koruma kurallarını devreye aldı. Ücretsiz planlarda Managed Free Ruleset, ücretli planlarda ise Managed Ruleset kullanılıyor.

Saldırı girişimlerinin sayısı ne kadar arttı?

Cloudflare CEO'su Matthew Prince'in açıklamasına göre duyurudan önceki 10 saatte binlerce saldırı girişimi görüldü. Duyurudan sonraki ilk 45 dakikada sayı on binlere, iki saat içinde yüz binlere ulaştı ve kısa süre içinde milyonları aştı.

Cloudflare koruması PHP güncellemesinin yerini tutuyor mu?

Hayır. Cloudflare'ın kuralları ek bir savunma katmanı sağlıyor. Açıkların kalıcı olarak giderilmesi için PHP güvenlik güncellemesinin uygulanması gerekiyor.

Cloudflare üzerinden engellenen istekler nereden kontrol edilebilir?

Yöneticiler, Cloudflare panelindeki Security > Security Analytics > Events bölümünden engellenen istekleri ve eşleşen kuralları inceleyebilir.