ikow/php2shell-poc: PHP session.upload_progress Pre-Auth RCE Araştırması ve Savunma Kuralları

Proje Özeti ve Önemi#

ikow/php2shell-poc, PHP ekosisteminde kritik öneme sahip olan CVE-2026-109618 ve CVE-2026-109619 güvenlik açıklarını derinlemesine inceleyen, Python tabanlı bir kavram kanıtı (PoC) ve güvenlik araştırması reposudur. Bu çalışma, PHP'nin session.upload_progress mekanizmasını hedef alan kimlik doğrulama öncesi (pre-auth) uzaktan kod çalıştırma (RCE) zafiyetlerine odaklanır. Kısa sürede 1822 yıldız ve 628 çatallanma (fork) sayısına ulaşarak siber güvenlik topluluğunda büyük yankı uyandırmıştır.

Projenin bu kadar popüler olmasının temel nedeni, sadece saldırı vektörlerini göstermekle kalmayıp aynı zamanda mavi takımlar (Blue Team) ve sistem yöneticileri için doğrudan uygulanabilir savunma mekanizmaları sunmasıdır. Repo içerisinde 5 farklı RCE zinciri (exploit chain) detaylandırılırken, bu saldırıları tespit etmek ve engellemek için hazır Suricata, Sigma ve ModSecurity kuralları paylaşılmaktadır.

Geliştiriciler ve Güvenlik Uzmanları İçin Değeri#

Web geliştiricileri, DevSecOps mühendisleri ve sızma testi uzmanları için bu repo, modern PHP uygulamalarındaki oturum yönetimi risklerini anlamak adına eşsiz bir kaynaktır:

• Kapsamlı Zafiyet Analizi: Kimlik doğrulaması gerektirmeden tetiklenebilen session.upload_progress istismarlarının 5 farklı senaryoda nasıl uçtan uca RCE'ye dönüştüğünü gösterir.
• Çok Katmanlı Tespit Kuralları: Ağ seviyesinde Suricata, SIEM ve log analizi seviyesinde Sigma ve web uygulama güvenlik duvarı (WAF) seviyesinde ModSecurity kuralları ile tam kapsamlı koruma sağlar.
• Pratik Doğrulama: Python ile yazılmış araçlar sayesinde güvenlik ekipleri kendi test ortamlarında sistemlerinin bu CVE'lere karşı savunmasız olup olmadığını hızla doğrulayabilir.

Pratik Kullanım Senaryoları#

Bu repoyu iş akışlarınıza şu şekillerde dahil edebilirsiniz:

• WAF Sıkılaştırma (Hardening): Repoda bulunan ModSecurity kurallarını doğrudan üretim ortamındaki Nginx veya Apache sunucularınıza entegre ederek session.upload_progress tabanlı zararlı yükleri (payload) uygulama katmanına ulaşmadan engelleyebilirsiniz.
• SOC ve SIEM Entegrasyonu: Sigma kurallarını Elastic Stack, Splunk veya QRadar gibi SIEM çözümlerinize aktararak geçmiş loglarda veya gerçek zamanlı trafikte CVE-2026-109618/109619 istismar girişimlerini tespit edebilirsiniz.
• Ağ Trafiği İzleme: Suricata imzalarını IDS/IPS sistemlerinize ekleyerek ağ paketleri düzeyinde şüpheli PHP oturum yükleme isteklerini yakalayabilirsiniz.
• Yetkilendirilmiş Sızma Testleri: İzole edilmiş staging ortamlarında Python betiklerini çalıştırarak mevcut güvenlik kontrollerinizin (WAF/EDR) bu 5 RCE zincirine karşı tepkisini ölçebilirsiniz.

Benzer Araçlarla Karşılaştırma#

GitHub üzerindeki standart tekil CVE PoC repoları veya PHPGGC gibi genel amaçlı istismar kütüphaneleri genellikle yalnızca saldırı (Red Team) tarafına odaklanır. Exploit-DB üzerindeki standart betikler ise çoğu zaman tespit kurallarından yoksundur. Buna karşılık ikow/php2shell-poc, hem 5 farklı RCE zincirini bir arada sunan derinlikli bir araştırma olması hem de Suricata, Sigma ve ModSecurity üçlüsüyle uçtan uca savunma kurallarını aynı pakette sunmasıyla rakiplerinden ayrılır. Saldırı ve savunma perspektifini birleştiren bu bütüncül yaklaşım, repoyu hem ofansif hem de defansif güvenlik uzmanları için vazgeçilmez bir referans haline getirmektedir.