PHP ekibi iki kritik açığı dört sürümle kapattı: Sunucu güvenliği için acil güncelleme
PHP geliştiricileri, giriş yapmadan sunucuda kod çalıştırmaya yol açan iki kritik güvenlik açığını kapatmak için 21 Ekim 2026’da dört PHP sürümüne acil güncelleme yayımladı.
PHP topluluğu, 21 Ekim 2026’da yayınladığı acil güncelleme paketiyle, "PHP2Shell" olarak adlandırılan iki kritik güvenlik açığını kapattı. Bu açıklar, saldırganların kimlik doğrulama gerektirmeden sunucuda zararlı kod çalıştırmasına imkan tanıyordu ve güvenlik değerlendirme ölçeğinde 10 üzerinden 9,2 puan alarak son derece tehlikeli olarak sınıflandırıldı.
Kapalı olan açıklar, CVE‑2026‑109618 ve CVE‑2026‑109619 kodlarıyla tanımlanıyor. Her iki açık da PHP’nin bellek yönetimi ve hata işleme süreçlerinden kaynaklanıyor. İlk açık, bellek sınırına ulaşan bir işlemin ardından eksik verileri geçerli veri gibi işleyebilmesine yol açıyor; ikinci açık ise önceki bir işlemin bıraktığı bilgilerin sonraki işlemlerde bellek hatasına neden olmasına imkan tanıyor. Bu durum, saldırganların tek bir HTTP isteğiyle hedef uygulamanın kod yürütme aşamasına geçmeden açığı tetikleyebilmesini sağlıyor.
PHP ekibi, bu riskin özellikle mod_php üzerinden çalışan Apache sunucularında en yüksek seviyede olduğunu vurguladı. Bunun yanı sıra, PHP‑FPM, php‑cgi, FrankenPHP ve LiteSpeed gibi farklı PHP çalışma ortamlarını kullanan sistemler de bu saldırı vektöründen etkilenebiliyor. Açıkların istismar edilmesi, sunucu üzerinde yetkisiz kod yürütülmesi ve potansiyel veri sızıntılarına yol açabileceği için acil müdahale şartı ortaya çıktı.
Güncelleme, PHP 8.1 ve önceki sürümler için dört yeni sürümle (PHP 8.1.x, PHP 8.0.x, PHP 7.4.x ve PHP 7.3.x) sunuldu. Linux dağıtımları ve uzun vadeli destek sağlayıcıları, bu sürümler için paket güncellemelerini hızla dağıtmalı; Windows kullanıcıları ise PHP’nin resmi indirme sayfasından güncel ikili dosyaları temin edebilir. PHP ekibi, 7.4, 8.0 ve 8.1 sürümleri için sadece sınırlı kod düzeltmeleri sağlasa da, bu adım eski sürümlerin düzenli destek döngüsünü yeniden başlatmıyor; dolayısıyla en güvenli yol, güncel sürüme geçiş yapmak.
Güncellemenin uygulanması, sadece paket yöneticileri üzerinden değil, aynı zamanda sunucu yöneticilerinin manuel olarak kaynak kodunu derlemesiyle de mümkün. NHS England’ın güvenlik uyarısında, güncelleme yapamayan kuruluşların ilgili sistemleri internet erişiminden izole etmeleri ve risk değerlendirmesi yapmaları öneriliyor. Bu tavsiye, özellikle kritik altyapı hizmeti sunan kurumlar için hayati önem taşıyor.
PHP topluluğu, bu acil güncellemenin ardından sunucu yöneticilerini, kullandıkları PHP sürümüne uygun yamayı hemen yüklemeye çağırdı. Güvenlik açıklarının kapatılması, web uygulamaları ve hizmetlerinin sürekliliği açısından kritik bir adım olarak görülüyor. Geliştiricilerin ve sistem yöneticilerinin, bu güncellemeyi gecikmeden hayata geçirmeleri, potansiyel saldırı yüzeyini daraltacak ve internet ekosisteminin genel güvenliğine katkı sağlayacaktır.
