PHP’de İki Kritik Açık: php2shell İçin Güvenlik Güncellemeleri Yayımlandı
PHP ekibi, uzaktan kod çalıştırmaya yol açabilecek iki kritik güvenlik açığını, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla duyurdu. Her iki açık da CVSS v4.0 ölçeğinde 9,2 önem derecesiyle değerlendiriliyor. PHP, açıkları gideren güncellemeleri 21 Ekim 2026’da yayımladı.
Araştırmacılar tarafından php2shell adı verilen açıklar, PHP’nin istek işleme ve bellek yönetimi süreçlerindeki sorunlardan kaynaklanıyor. Saldırgan, özel hazırlanmış HTTP istekleriyle etkilenen sistemlerde kimlik doğrulaması olmadan kod çalıştırabilir; bu durum sunucudaki verilere erişilmesine veya hizmetin kesintiye uğramasına neden olabilir. PHP-FPM, Apache mod_php, php-cgi ve LiteSpeed gibi PHP çalıştıran web sunucuları risk altında.
Güvenlik güncellemeleri yayımlandı
PHP ekibinin duyurduğu düzeltilmiş sürümler şunlar:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
PHP ekibi, bu sürümlere geçişi acil olarak öneriyor ve açıkları tamamen gideren başka bir geçici önlem bulunmadığını belirtiyor. PHP 8.1 ve daha eski sürümler proje tarafından artık desteklenmiyor. Bu sürümleri kullananların dağıtım sağlayıcılarının veya hizmet sağlayıcılarının sunduğu yamaları kontrol etmesi ya da desteklenen bir PHP sürümüne yükseltmesi gerekiyor.
Web sitesi yöneticileri ne yapmalı?
PHP uygulamalarını çalıştıran kurumların sunucularında kullanılan PHP sürümünü belirleyip güvenlik güncellemesini mümkün olan en kısa sürede yüklemesi gerekiyor. PHP, web hosting sağlayıcısı tarafından yönetiliyorsa güncelleme sağlayıcıdan talep edilmeli ve uygulamanın güncel PHP sürümünde çalıştığı doğrulanmalı.
Yama hemen uygulanamıyorsa CERT-EU, internetten erişilebilen etkilenen uygulamaların düzeltme yüklenip doğrulanana kadar dış ağlardan izole edilmesini öneriyor. Güvenlik duvarı veya WAF kuralları ek koruma sağlayabilir; ancak PHP güncellemesinin yerini tutmuyor. Cloudflare, açıklama öncesinde koruma kuralları devreye aldığını ve müşterilerine yönelik saldırı trafiği gözlemlediğini bildirdi.
PHP kullanan web siteleri için güncelleme kontrolü öncelikli hale geldi. Özellikle destek dışı PHP sürümleri çalıştıran sistemlerin sahipleri, kullandıkları platformun veya hosting sağlayıcısının yamalarını gecikmeden takip etmeli.
