Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-94

CVE-2017-9841

PHPUnit eval-stdin.php dosyasında uzaktan PHP kodu çalıştırma açığı

PHPUnit

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
3409 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 15 Şub 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 15 Ağu 2022.

Yönetici özeti

Bu açık, internetten herhangi birinin web sunucunuzda kendi komutlarını çalıştırmasına izin verebilir ve şu anda saldırganlar tarafından aktif olarak kullanılmaktadır. Açığın kullanılması halinde web sitesi ele geçirilebilir, müşteri verileri çalınabilir veya hizmet durdurulabilir. Düzeltme ve erişim engelleme işlemleri gecikmeden yapılmalıdır.

ÖzetTürkçe

PHPUnit'in 4.8.28 öncesi sürümlerinde ve 5.6.3 öncesindeki 5.x sürümlerinde Util/PHP/eval-stdin.php dosyası, HTTP POST verisi "<?php " ile başlıyorsa içindeki PHP kodunu çalıştırır. Açık, özellikle /vendor klasörü dışarıdan erişilebilen web sitelerinde istismar edilmektedir. Kimlik doğrulama gerekmez ve saldırı doğrudan ağ üzerinden yapılabilir. Açık CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almaktadır.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması olmadan sunucuda istediği PHP kodunu çalıştırarak sistemi tamamen ele geçirebilir. Bu durum veri sızıntısına, verilerin değiştirilmesine veya hizmetin kesintiye uğramasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

Util/PHP/eval-stdin.php in PHPUnit before 4.8.28 and 5.x before 5.6.3 allows remote attackers to execute arbitrary PHP code via HTTP POST data beginning with a "<?php " substring, as demonstrated by an attack on a site with an exposed /vendor folder, i.e., external access to the /vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php URI.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. PHPUnit'i 4.8.28 veya sonrasına, 5.x kullanıyorsanız 5.6.3 veya sonrasına güncelleyin; satıcı talimatlarına göre güncellemeyi uygulayın. Genel öneri
  2. Güncelleme hemen mümkün değilse eval-stdin.php dosyasını sunucudan silin veya web üzerinden erişimini engelleyin. Genel öneri
  3. /vendor klasörüne dışarıdan erişimi web sunucusu yapılandırmasında kapatın; bu klasör web kök dizininin dışında olmalıdır. Genel öneri
  4. Sunucu günlüklerinde eval-stdin.php adresine yapılmış POST isteklerini arayın; şüpheli kayıt varsa sistemi ele geçirilmiş kabul edip inceleme yapın. Genel öneri

Ek önlemler

  • PHPUnit gibi geliştirme araçlarını üretim ortamına kurmayın; bağımlılıkları yüklerken geliştirme paketlerini hariç tutun. Genel öneri
  • Web sunucusunun belge kök dizinini yalnızca herkese açık olması gereken dosyalarla sınırlandırın. Genel öneri
  • Web uygulaması güvenlik duvarı (WAF) kurallarıyla vendor dizinine yönelik isteklerı engelleyin ve izleyin. Genel öneri
  • Bağımlılıkları düzenli olarak denetleyip güncel tutun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
PHPUnit Sürüm belirtilmemiş –

Kaynaklar9 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.