PHP2Shell ve Azure DevOps: Pipeline'larda neyi kontrol etmeli
PHP, uzaktan kod çalıştırmaya yol açabilen iki kritik güvenlik açığını 21 Ekim 2026'da duyurdu. Azure DevOps Services ve Server müşteri isteklerini PHP ile işlemediği için risk, pipeline'ların ve dağıtılan uygulamaların kullandığı PHP çalışma zamanlarında. Yazı, hangi PHP kurulumunun Microsoft'a, hangisinin size ait olduğunu açıklıyor.
Kilit noktalar
- PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 (ya da satıcı backport'u) ile PHP2Shell düzeltmesini doğrulayın.
- Microsoft-hosted agent'larda image güncellemesi beklenmeden gerekirse setup adımıyla düzeltilmiş PHP kurun.
- Self-hosted agent'lardaki PHP'yi işletim sistemi paket yöneticisiyle güncelleyin; agent yükseltmesi bunu yapmaz.
- Job container image'larını yeniden derleyip pipeline'ı yeni image'a yönlendirin.
- Dağıtılan uygulamalarda PHP sürümünü çalışma anında doğrulayın ve worker'ları yeniden başlatın.
- Sadece php -v değil, paket revizyonunu satıcı duyurusuyla karşılaştırın.
PHP, 21 Ekim 2026'da uzaktan kod çalıştırmaya yol açabilen iki kritik güvenlik açığını duyurdu; bu çift PHP2Shell olarak anılıyor. Azure DevOps Services ve Azure DevOps Server müşteri isteklerini PHP ile işlemediği için risk platformun kendisinde değil, pipeline'ların, agent'ların, container'ların ve dağıtılan uygulamaların kullandığı PHP çalışma zamanlarında. Düzeltilmiş upstream sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35; satıcının onayladığı backport'lar da geçerli.
Hangi PHP'nin kimin sorumluluğunda olduğu agent tipine bağlı. Microsoft-hosted agent'lardaki önceden kurulu PHP'yi Microsoft güncelliyor, ancak güncellemeler image bazında yayılıyor; bu sırada bir setup adımıyla düzeltilmiş paket kurulabilir. Self-hosted agent'lar, job container'ları ve Azure DevOps Server host'undaki PHP sizin sorumluluğunuzda; agent güncellemesi ayrı kurulmuş PHP'yi değiştirmez. Sadece php -v çıktısına değil, tam paket revizyonuna ve satıcı duyurusuna bakın.
Gerçek dünyada kullanımı
- Self-hosted Azure Pipelines agent'ında PHP ile test yapan bir web uygulaması ekibi.
- PHP tabanlı bir uygulamayı Azure DevOps pipeline'ından dağıtan ve özel container image kullanan ekip.
- Azure DevOps Server çalıştıran bir kurumda aynı host'ta ayrı bir PHP aracı bulunan altyapı ekibi.
Neden önemli
Azure DevOps'un kendisi bu açıklardan etkilenmiyor, ancak pipeline'larınızda çalışan PHP'yi siz güncellemezseniz risk sizin ortamınızda kalır. Hangi agent ve image'ın kimin sorumluluğunda olduğunu bilmek yama süresini belirler.
Benzer haberler
- Visual Studio Marketplace'e PAT olmadan güvenli yayın: Trusted PublishingMicrosoft for Developers Blog5 gün önce
- Avalonia güvenlik olayı: CMS'e yetkisiz erişim, paketler ve müşteri verisi etkilenmediAvalonia UI Blog23 Eki
- MCP Sunucularında Ölçekte Rate Limiting ve Kaynak YönetişimiDEV Community: #aspnetcore1 gün önce