PHP’de iki kritik açık: Sunucu yöneticilerine acil güncelleme çağrısı

PHP projesi, 21 Ekim 2026’da kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına yol açabilen iki kritik güvenlik açığı için acil güncellemeler yayımladı. CVE-2026-109618 ve CVE-2026-109619 olarak izlenen açıkların her biri CVSS v4.0 ölçeğinde 10 üzerinden 9,2 puan aldı. Web sitesi ve sunucu yöneticilerinin, kullandıkları PHP dalına ait düzeltilmiş paketi gecikmeden yüklemesi gerekiyor. PHP’nin resmî güvenlik duyurusu, web isteği karşılayan tüm PHP kurulumlarını güncelleme kapsamına alıyor.

Hangi sistemler risk altında?

PHP-FPM, Apache/mod_php, php-cgi, FrankenPHP ve LiteSpeed kullanan kurulumlar duyurunun kapsamında. En yüksek gösterilmiş risk Apache/mod_php tarafında: uygulamanın kendi kodu çalışmaya başlamadan saldırı tetiklenebiliyor. Bu nedenle yalnız CMS, tema veya eklenti güncellemek PHP çalışma ortamındaki açığı kapatmıyor. Riskin uygulanabilirliği kullanılan sunucu arayüzüne, ayarlara ve uygulama davranışına göre değişiyor.

İki kritik PHP açığı ne yapıyor?

CVE-2026-109618: Bellek tükenmesi sırasında bozulma

İlk açık, bellek tükenmesi hatası oluştuğunda PHP’nin isteği sonlandırma biçimiyle ilgili. Henüz bütünüyle hazırlanmamış iç veriler geçersiz durumda kalabiliyor; temizleme aşamasının bu verileri kullanması uzaktan kod çalıştırmaya dönüşebiliyor. PHP ekibinin teknik açıklaması, Apache/mod_php için uygulamadan bağımsız saldırı yolunu ayrıntılandırıyor. Aynı açıklama, PHP-FPM’de bellek tükenmesine bağlı başka yolların mümkün olduğunu, ancak bu SAPI için tamamlanmış bir istismarın gösterilmediğini belirtiyor. Bu ayrım, PHP-FPM güncellemesini ertelemek için güvence sayılmamalı.

CVE-2026-109619: Önceki istekten kalan global durum

İkinci açıkta, bir isteğe ait bellek serbest bırakıldıktan sonra çalışan PHP sürecinin eski veriye işaret eden durum bilgisi taşıması söz konusu. Aynı süreç sonraki istekte bu durumu kullandığında, serbest bırakılmış belleğe erişim oluşabiliyor. Resmî teknik bildirim, uygun koşullarda bunun da uzaktan kod çalıştırmaya dönüşebildiğini açıklıyor. Hata mesajlarını gizlemek veya display_errors ayarını kapatmak bu açığı gidermiyor.

Aktif saldırı bildirimi var mı?

Güvenlik araştırma şirketi watchTowr, iki açığa yönelik aktif istismar girişimleri gözlemlediğini bildiriyor. Şirketin “PHP2Shell” başlığıyla yayımladığı bu gözlem, güncellemenin aciliyetini artırıyor. Bildirim, belirli bir sitenin ele geçirildiğini veya tüm PHP kurulumlarının aynı yöntemle istismar edilebildiğini tek başına göstermiyor.

Hangi PHP sürümleri düzeltildi?

PHP projesinin bu iki açık için yayımladığı düzeltme sürümleri şöyle:

PHP 8.1 ve önceki dallar PHP projesinden düzenli güvenlik güncellemesi almıyor. Dağıtım veya uzatılmış destek sağlayıcısı aynı sürüm numarasına düzeltme uyarlamış olabilir; paket revizyonunu ve sağlayıcının güvenlik kaydını birlikte değerlendirin. PHP 8.2’nin güvenlik desteği de resmî destek takvimine göre 31 Aralık 2026’da sona eriyor; bu dalı kullananlar desteklenen daha yeni bir dala geçişi planlamalı.

Sunucu ve site yöneticileri şimdi ne yapmalı?

1. Kapsamı çıkarın. Alan adlarının ve uygulamaların hangi PHP sürümünü, havuzunu ve paket sağlayıcısını kullandığını belirleyin. Sunucuda birden fazla PHP sürümü bulunabilir.
2. Geri dönüş planını netleştirin. Güncelleme öncesinde mevcut kurtarma olanaklarını ve bakım sorumluluğunu sunucu yöneticinizle değerlendirin.
3. Doğru paketi güncelleyin. İşletim sisteminin paket yöneticisini veya kullandığınız panelin güncelleme mekanizmasını izleyin. Paketlerin bu iki CVE’yi düzelttiğini sağlayıcı duyurusundan teyit edin.
4. Çalışan süreçleri yenileyin. Kurulumunuza göre PHP-FPM, Apache veya ilgili web sunucusunu yeniden başlatın. Eski worker süreçlerinin eski kodla hizmet vermeye devam etmesine izin vermeyin.
5. Web tarafındaki sürümü ayrıca kontrol edin. Terminaldeki php -v yalnız seçilen komut satırı çalıştırıcısını gösterir. Sitenin bağlı olduğu PHP işleyicisini panelden veya erişimi kısıtlanmış tanılama aracından ayrıca inceleyin; tanılama sayfasını herkese açık bırakmayın.
6. Şüpheli etkinliği inceleyin. Tanımadığınız web dosyaları, yeni zamanlanmış işler, alışılmadık süreçler ve beklenmeyen dış trafik için günlükleri değerlendirin. Güncelleme, daha önce gerçekleşmiş bir ihlali kendiliğinden temizlemez.

cPanel, Plesk ve CloudLinux için güncel durum

cPanel / WHM ve EasyApache 4

cPanel’in 22 Ekim tarihli bildirimi, cPanel/WHM ve EasyApache 4 için düzeltmeleri listeliyor. Panel güncellemesiyle birlikte kurulu ea-php paketlerini de güncelleyin. Eski PHP dallarında yalnız ana sürüm numarasına bakmayın; cPanel ve CloudLinux tarafından sağlanan paket revizyonları farklı olabiliyor. Kurulumunuza ait sağlayıcı satırını esas alın.

Plesk Obsidian

Plesk’in güncellenmiş duyurusu, Linux ve Windows için PHP 8.2–8.5 düzeltmelerinin hazır olduğunu belirtiyor. Plesk arayüzünün kullandığı sw-engine için de Obsidian 18.0.81 Update 4 ve 18.0.80 Update 11 düzeltmeleri listeleniyor. Linux’taki PHP 7.4, 8.0 ve 8.1 paketlerinde sürüm numarası aynı kalabildiğinden, 21 Ekim 2026 derleme tarihini ve sağlayıcı kaydını kontrol etmek gerekiyor. Yalnız web sitesinin PHP paketini güncelleyip panelin kendi motorunu gözden kaçırmayın.

CloudLinux Alt-PHP ve dağıtım paketleri

CloudLinux durum sayfası, Alt-PHP düzeltmelerinin kararlı depolara yayımlandığını bildiriyor. Dağıtımın kendi php paketlerinde durum dal ve işletim sistemi sürümüne göre farklı; bazı paketler için dağıtım süreci sürüyor. “Panel güncel” bilgisini bütün PHP paketlerinin düzeltildiği şeklinde yorumlamayın. Debian, Ubuntu, AlmaLinux, Rocky Linux ve RHEL gibi dağıtımlarda ilgili güvenlik duyurusunu; üçüncü taraf depolarda ise depo sağlayıcısının güncel paket durumunu izleyin.

Hemen güncelleme yapılamıyorsa

Geçici ayarlar tam koruma sağlamıyor. PHP ekibinin duyurusundaki bellek, istek boyutu ve oturum yükleme ilerlemesi önlemleri belirli saldırı yollarını azaltmayı amaçlıyor. Bazı ayarlar kaynak tüketimini veya uygulama davranışını etkileyebileceği için kurulumunuza uygun değişiklikleri yetkili sunucu yöneticiniz yapmalı. Güncel resmî önlemleri okuyun ve yama kurulumunu önceliklendirin. WAF kullanımı ve yönetim arayüzlerine erişimi daraltmak ek katman sağlayabilir; PHP düzeltmesinin yerini almaz.

Sunucu erişiminiz yoksa hosting sağlayıcınızdan sitenizin bağlı olduğu PHP işleyicisi, yüklenen düzeltme paketi ve süreçlerin yenilenmesi hakkında bilgi isteyin. Güvenlik ve Hack kategorisindeki diğer yayınlara veya Blog’a dönebilirsiniz.

Kaynakların incelendiği tarih: 22 Ekim 2026. Paketlerin dağıtım durumu değişebileceğinden güncelleme sırasında bağlantı verilen sağlayıcı duyurularını esas alın.