PHP2Shell açığı: Burp Suite ile hızlı tespit nasıl yapılır

PHP2Shell açığı ortaya çıktığından beri dünya genelinde alarm çalıyor. Sebebi basit: web sitelerinin yaklaşık yüzde 70'i PHP kullanıyor. Bu iki CVE (CVE-2026-109618 ve CVE-2026-109619) bir saldırganın sunucuya doğrudan kod yürütmesine izin veriyor, yani tam ortadan bölme gibi bir durum.

PortSwigger'ın PHP2Shell x Burp Suite: Detection in your hands within a day of disclosure başlıklı yazısında gösterilen yöntem, açığın bulunmasını çok kolaylaştırıyor. Burp Suite'in güçlü tarama ve analiz araçlarını kullanarak, bir PHP uygulamasının bu açığa karşı savunmasız olup olmadığını saatler içinde test edebilirsin.

Pratik olarak, Burp'un Repeater aracıyla hedef sunucuya özel istekler göndererek, açığın belirtilerini arayabilirsin. Yazıda anlatılan yöntem, manuel test yapmak isteyenler için adım adım bir rehber sunuyor. Eğer bir web uygulamasından sorumlusan ya da güvenlik testleri yapıyorsan, bu açığı kontrol listene hemen eklemen gerek.

Önemli olan hız. Açık ilk duyurulduğunda, birçok saldırgan zaten tarama başlatmış olabiliyor. Burp Suite ile kendi sunucularını hemen kontrol etmek, olası saldırılardan önce bir adım atmak demek.