Vebin əhəmiyyətli bir hissəsini təşkil edən PHP proqramlaşdırma dilində aşkar edilmiş iki ciddi boşluq qlobal kiber təhlükəsizlik həyəcanına səbəb olub. CVE-2026-109618 və CVE-2026-109619 kimi izlənilən bu boşluqlar, ümumilikdə PHP2Shell adlandırılır və hakerlərə serverlərdə uzaqdan, daxil olmadan öz kodlarını işlətməyə imkan verir. Bu vəziyyət milyonlarla internetə açıq xidməti risk altına qoyur. PHP bu boşluqların hər birini CVSS v4.0 şkalası üzrə 9.2 kimi yüksək qiymətləndirərək, onların kritik əhəmiyyətini vurğulayıb. Şirkət artıq 8.5.12 , 8.4.27 , 8.3.36 və 8.2.35 kimi yenilənmiş versiyaları buraxsa da, təhlükəsizlik firmaları hələ də çox sayda serverin yamalanmamış və ya dəstəklənməyən versiyalardan istifadə etdiyini bildirir. Times of India qəzetinin hesabatına görə, şirkətlər PHP tətbiqləri hazırlamasalar belə, kommersiya proqramları, hostinq provayderləri və daxili proqram təminatı vasitəsilə bu riskə məruz qala bilərlər. WordPress , Drupal , Joomla və Magento kimi məşhur platformalar PHP ilə işləyir. Censys tərəfindən 22 oktyabr tarixində aparılan araşdırmada, təxminən 36,7 milyon internetə açıq xidmətin potensial olaraq təsirlənmiş PHP versiyalarını istifadə etdiyi müəyyən edilib. Bu rəqəmlər unikal serverləri və ya təşkilatları deyil, xidmət saylarını göstərir və satıcı yeniləmələri vasitəsilə artıq yamalanmış quraşdırmaları da əhatə edə bilər. Qualys şirkəti 12 000 təşkilatda 167 milyon PHP paket quraşdırması aşkar edib ki, onların da 73 faizi internetə açıq aktivlərdə yerləşir. Şirkətin Təhdid Araşdırma Bölməsinin rəhbəri Saeed Abbasi , yalnız yamalanmanın dəstəklənməyən versiyalardakı sistemlərə kömək etməyəcəyini və demək olar ki, bütün quraşdırmaların ya həssas, ya da dəstəklənməyən olduğunu qeyd edib. Fortinet -in təhdid kəşfiyyatı və rəqib AI tədqiqatları üzrə qlobal direktoru Aamir Lakhani bu boşluqları veb saytlarına və müştəri portallarına güvənən firmalar üçün “təcili təhlükəsizlik və biznesin davamlılığı riski” adlandırıb. CloudSEK -in məlumatına görə, Shodan dünya üzrə 2,2 milyon internetə açıq xidmətdə PHP məlumatlarını göstərib. Hindistan bu siyahıda 53 400 xidmətlə doqquzuncu yerdədir. CloudSEK tədqiqatçısı Akash Karthi bildirib ki, Hindistan da PHP versiyasını göstərən 36 700 xidmətdən təxminən 36 100 -ü yamalanmamışdır, bunlardan 19 500 -ü ömrünün sonuna çatmış versiyalardır. CVE-2026-109618 boşluğu, bir sorğu PHP -nin yaddaşının tükənməsinə səbəb olduqda işə düşür. PHP , daxili sorğu məlumatları yalnız qismən qurulduğu zaman kəsilə bilər və təmizləmə prosesi daha sonra etibarsız məlumatları etibarlı kimi qəbul edə bilər. CVE-2026-109619 isə yaddaş boşaldıldıqdan sonra da qalan daxili sorğu məlumatlarını əhatə edir. Bu boşluqlar PHP -nin özündədir, hər hansı bir tətbiqdə və ya plaginlərdə deyil, buna görə də saytın öz kodu sağlam olsa belə, riskə məruz qala bilər. PHP -nin bildirdiyinə görə, veb sorğularını idarə edən bütün yamalanmamış quraşdırmalar, o cümlədən PHP-FPM , mod_php ilə Apache , php-cgi , FrankenPHP və LiteSpeed risk altındadır. Kanada Kiber Təhlükəsizlik Mərkəzi nin xəbərdarlığına görə, PHP riski mod_php üçün ən yüksək qiymətləndirilir, çünki nümayiş etdirilmiş bir istismar, tətbiqin öz kodu işə düşməzdən əvvəl təsdiqlənməmiş bir sorğunun boşluğu işə salmasına imkan verir. PHP köhnə filiallar üçün rəsmi düzəlişlər buraxmayıb. AB qurumlarının kiber təhlükəsizlik bölməsi olan CERT-EU , bütün PHP 5 və sonrakı versiyaların təsirlənə biləcəyini bildirib, lakin bu məlumatın PHP -nin özündən deyil, ictimai mənbələrdən alındığını qeyd edib. PHP , heç bir konfiqurasiya dəyişikliyinin boşluqları tamamilə aradan qaldırmadığını bildirib. Yalnız bəzi hücum yollarını bloklamaq üçün sessiya yükləmə prosesini söndürmək tövsiyə olunur. Təhlükəsizlik firması Kaspersky , Linux paylamalarının versiya nömrəsini dəyişmədən boşluqları düzəldə biləcəyi üçün administratorlara paket dəyişikliklərini yoxlamağı məsləhət görüb. PHP -nin 8.2 filialı da 31 dekabr 2026-cı il tarixində təhlükəsizlik dəstəyini itirəcək. Boşluqların təfərrüatları, planlaşdırılan açıqlamadan əvvəl, 20 oktyabr tarixində onlayn forumda sızdırıldığı bildirilir. Bundan sonra PHP administratorlara təcili yeniləmələrə hazırlaşmağı tövsiyə edib. Mənbələr: economictimes.indiatimes.com