PHP’de iki kritik açık kapatıldı: Acil güncelleme çağrısı

PHP ekibi, web sitelerinde oturum açmadan uzaktan kod çalıştırmaya yol açabilen iki kritik güvenlik açığı için güncellemeleri yayımladı. PHP2Shell adıyla duyurulan sorunlar, WordPress gibi bir içerik yönetim sisteminden değil, bu uygulamaları çalıştıran PHP'nin çekirdeğinden kaynaklanıyor. Web sunucusu yöneticilerine kullanılan PHP dalının yamalı sürümüne geçmeleri çağrısı yapılıyor.

CVE-2026-109618 ve CVE-2026-109619 olarak kaydedilen açıkların ikisi de CVSS 4.0 ölçeğinde 9,2 puanla kritik olarak sınıflandırıldı. İlki, bellek yetersizliği sonrasında tamamlanmamış iç verilerin temizlenmesinde bellek bozulmasına neden olabiliyor. İkincisi, önceki istekte serbest bırakılmış belleğe ait bilgilerin sonraki istekte yeniden kullanılmasıyla ilişkili; bellekten veri sızmasına veya kod çalıştırılmasına kapı açabiliyor.

Hangi PHP sürümlerine geçilmeli?

21 Ekim'de yayımlanan düzeltmeler, desteklenen dört PHP dalında şu sürümlere dahil edildi:

• PHP 8.2 için 8.2.35
• PHP 8.3 için 8.3.36
• PHP 8.4 için 8.4.27
• PHP 8.5 için 8.5.12

Risk, kullanılan sunucu yapısına ve uygulamaya göre değişiyor. PHP bakımcıları mod_php kurulumlarını özellikle yüksek riskli olarak tanımlıyor; PHP-FPM, php-cgi, FrankenPHP ve LiteSpeed üzerinden web isteği işleyen ortamlar için de güncelleme gerekiyor. Kod çalıştırma, web isteğini işleyen sürecin yetkileriyle gerçekleşebiliyor; bu, her durumda sunucunun yönetici hesabının ele geçirildiği anlamına gelmiyor.

Site sahiplerinin barındırma sağlayıcısından yalnız PHP sürüm numarasını değil, bu iki açığın düzeltmesini içeren paketin gerçekten kullanıldığını doğrulamasını istemesi önemli. Sorun PHP motorunda olduğundan yalnız WordPress'i, temayı veya eklentileri güncellemek bu yamanın yerine geçmiyor. Linux dağıtımları düzeltmeleri kendi paketlerine geri taşıyabildiği için sürüm numarası tek başına yeterli olmayabilir.

PHP 8.1 ve daha eski dallar, PHP projesinin normal destek kapsamı dışında. Bazı eski dallar için istisnai kaynak düzeltmeleri hazırlanmış olsa da kullanılan paketin durumu dağıtım veya uzun süreli destek sağlayıcısından kontrol edilmeli.

Yapay zekâ destekli araştırma, bakımcıların yönettiği yama süreci

OpenAI'nin açıklamasına göre Calif, Patch the Planet çalışmasında GPT-5.6 Sol kullanarak kritik açığın ortaya çıkarılmasına katkı verdi. Wiz de sorunları bağımsız olarak keşfedip bildirdi. Düzeltmeleri geliştirme ve güvenlik sürümlerini yayımlama sorumluluğu PHP bakımcılarındaydı; araştırmacılar ve diğer ortaklar koordineli açıklama sürecine destek oldu.

PHP Foundation, bellek yetersizliğiyle ilgili sorunun ilk işaretlerinin 2024'teki bir denetim sonrasında görüldüğünü, 2026 Ağustos'undaki raporların ise etkisini daha açık biçimde ortaya koyduğunu belirtiyor. Vakıf, CVE numaralarının erken sızması üzerine 22 Ekim için planlanan sürümün 21 Ekim saat 17.00'ye (TSİ) çekildiğini açıkladı.

OpenAI ayrıca sürüm bilgisi üzerinden kontrol yapan php2shell-checker aracını yayımladı. Araç bir saldırı denemesi yapmıyor; sonuç alınamaması sistemin güvenli olduğu anlamına gelmiyor. Özellikle dağıtımların geri taşıdığı yamalarda nihai doğrulamanın paket sağlayıcısından yapılması gerekiyor.