PHP ekibi, saldırganların bazı koşullarda hesap açmadan veya giriş yapmadan sunucuda kod çalıştırmasına yol açan iki kritik güvenlik açığını kapattı. Ekip, 21 Ekim 2026’da dört PHP sürümü için acil güncelleme yayımladı.
PHP2Shell adıyla anılan açıklar, PHP kullanan internet sitelerini ve uygulamaları ilgilendiriyor. Her iki açık da güvenlik değerlendirme ölçeğinde 10 üzerinden 9,2 puan taşıyor. PHP ekibi, sunucu yöneticilerini güncellemeleri yüklemeye çağırıyor.
Yapay zeka eski PHP kusurlarını ortaya çıkardı, kurumlar sitelerini kapattıGüncel
Tek bir istek saldırıyı başlatabiliyor
CVE-2026-109618 ve CVE-2026-109619 kodlarını taşıyan açıklar, PHP’nin bellek kullanımı ve hata işleme süreçlerinden kaynaklanıyor.
İlk açıkta PHP, bellek sınırına ulaşan bir işlemin ardından eksik verileri geçerli veri gibi işleyebiliyor. İkinci açıkta ise önceki bir işlemin bıraktığı bilgiler, sonraki işlemlerde bellek hatasına yol açabiliyor. Saldırganlar bu sorunlardan yararlanarak sunucuda kendi kodlarını çalıştırabiliyor.
PHP ekibi, en yüksek riskin PHP’yi mod_php üzerinden çalıştıran Apache sunucularında olduğunu belirtiyor. Araştırmacıların gösterdiği saldırıda tek bir istek, sitenin uygulama kodu çalışmaya başlamadan açığı tetikleyebiliyor. PHP-FPM, php-cgi, FrankenPHP ve LiteSpeed kullanan sistemler de risk kapsamında yer alıyor.
Hangi PHP sürümleri açıkları kapatıyor?
PHP ekibi, iki açığı şu sürümlerle giderdi:
-
PHP 8.5.12
-
PHP 8.4.27
-
PHP 8.3.36
-
PHP 8.2.35
Sunucu yöneticilerinin kullandıkları PHP serisine uygun güncellemeyi yüklemesi gerekiyor. Linux kullanıcıları, dağıtımlarının veya destek sağlayıcılarının sunduğu güncel paketleri kontrol edebiliyor. PHP’nin indirme sayfası da kaynak kodunu ve Windows paketlerini sunuyor.
PHP 8.1 ve önceki sürümler, projenin düzenli güncelleme desteği dışında kalıyor. Bazı Linux dağıtımları ve uzun süreli destek sağlayıcıları bu sürümlere düzeltme sunabiliyor. PHP ekibi ayrıca 7.4, 8.0 ve 8.1 için kaynak koduna uygulanacak sınırlı düzeltmeler paylaştı. Bu adım, eski sürümlerin düzenli desteğini yeniden başlatmıyor.
PHP açığı için yurt dışı erişimi uyarısı: Hangi sistemler trafiğe kapanmalı?Güncel
Geçici önlemler tam koruma sağlamıyor
PHP ekibine göre bazı ayar değişiklikleri belirli saldırı yollarını daraltıyor. Ancak bu önlemler açıkları kapatmıyor. Tam çözüm için yöneticilerin düzeltmeleri içeren PHP sürümüne geçmesi gerekiyor.
NHS England’ın güvenlik uyarısı da güncelleme yapamayan kuruluşlara risklerini değerlendirmelerini ve açıkları kapatana kadar etkilenen sistemleri internet erişimine kapatmayı düşünmelerini öneriyor.
Açıklarla ilgili bilgilerin 20 Ekim’de internette dolaşıma girmesi, yayın takvimini de değiştirdi. PHP ekibi, 22 Ekim için hazırladığı güncellemeleri bir gün öne çekerek 21 Ekim’de yayımladı.