Dünya genelinde milyonlarca sistemin ana omurgasını oluşturan PHP'de güvenlik açığı tespit edildi. PHP’nin çekirdek çalışma ortamında tespit edilen CVE-2026-109618, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına kapı açabiliyor. PHP ekibi 21 Ekim’de güvenlik güncellemelerini yayımladı. PHP ekibi, CVE-2026-109618 ile birlikte CVE-2026-109619 için kritik güvenlik güncellemelerini yayımladı. Her iki açık da CVSS v4.0 ölçeğinde 9,2 puanla “kritik” seviyede değerlendiriliyor. PHP’nin resmi duyurusuna göre açıklar, saldırganların herhangi bir oturum açmadan uzak sunucuda kod çalıştırmasına imkân verebilecek nitelik taşıyor. Uzmanlara göre açık teknik olarak kapatılmış olsa da, güncellenmemiş sunucular hâlâ saldırı riski altında. Haberlerimizi Google’da Takip Edin Gelişmelerden anında haberdar olun. Google’da tercih edilen kaynak olarak ekleyin Haberin Devamı CVE-2026-109618 tek başına değil, aynı duyuruda yer alan CVE-2026-109619 ile birlikte “PHP2Shell” adıyla gündeme geldi. İkinci açıkta, bir PHP çalışanının önceki isteğe ait ve serbest bırakılmış belleği yeniden kullanabilmesinin söz konusu olduğu değerlendiriliyor. İki açık da istek yaşam döngüsündeki hatalı başlatma ve temizleme davranışlarından yararlanıyor. Tehdidin en önemli tarafının, saldırı için kullanıcı hesabı veya uygulama içindeki özel bir işlev gerekmeyebilmesi olduğu değerlendiriliyor. CVE-2026-109618 NEDİR? CVE-2026-109618, PHP’nin bellek yetersizliği sırasında istek verilerini işlerken ortaya çıkan bir hata olarak tanımlanıyor. PHP, bir bellek ayırma işlemi başarısız olduğunda isteğe ait iç verileri tamamen başlatılmadan bırakabiliyor. Daha sonra çalışan temizlik mekanizması ise bu eksik veya geçersiz veriyi geçerli kabul ederek işleyebiliyor. Haberin Devamı Bu durum, saldırganın hazırladığı bir HTTP isteğiyle PHP’nin istek işleme sürecini uygulama kodu çalışmadan önce manipüle etmesine ve uzaktan kod çalıştırmasına yol açabiliyor. Datadog Security Labs, laboratuvar ortamındaki yeniden üretimde kimlik doğrulaması gerektirmeyen bir HTTP POST isteğinin PHP 8.5.11 üzerinde bu yolu tetikleyebildiğini bildirdi. Araştırmaya göre saldırı, hedef uygulamanın kendi PHP koduna ulaşmadan önce gerçekleşebiliyor. Açık, PHP’nin form verilerini ve özellikle $_POST dizisini oluşturduğu aşamayla bağlantılı. Bu nedenle risk yalnızca belirli bir CMS’e veya uygulamaya özgü değil. HTTP isteklerini işleyen PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed kurulumları etki alanında bulunuyor. PHP projesi, riskin özellikle mod_php kullanan sistemlerde yüksek olduğunu belirtiyor. PHP GÜVENLİK AÇIĞI KAPANDI MI? PHP, güvenlik açığını bazı sürümler için kapattı. PHP’nin yayımladığı düzeltilmiş sürümler şöyle: •PHP 8.2.35 •PHP 8.3.36 •PHP 8.4.27 •PHP 8.5.12 Google Cloud da PHP’nin 5.4’ten 8.5.11’e kadar olan sürümlerinin etkilendiğini, yukarıdaki sürümlerde düzeltmelerin bulunduğunu belirtiyor. Konteyner kullanan kuruluşların yalnızca ana makinedeki PHP’yi değil, imajların içindeki PHP sürümünü de güncellemesi ve imajları yeniden oluşturup dağıtması gerekiyor. Haberin Devamı PHP 8.1 ve daha eski sürümler, PHP projesinin normal destek kapsamı dışında. PHP güvenlik ekibi, kaynak koddan derleme yapanlar için PHP 7.4, 8.0 ve 8.1’e yönelik sınırlı geri taşımalar yayımladı. Bununla birlikte, bu sürümlerde çalışan kuruluşların dağıtım üreticisinin paket güncellemesini kontrol etmesi veya desteklenen bir PHP dalına geçmesi gerekiyor. PHP 5 için upstream tarafından yayımlanmış güncel bir düzeltme bulunmadığı bildiriliyor. GÜNCELLEME YAPILAMIYORSA NE YAPILMALI? PHP ekibi, geçici önlemlerin tam çözüm olmadığını açıkça vurguluyor. Güncelleme tamamlanana kadar istek boyutlarını ve parçalarını ters vekil sunucu ya da web sunucusu seviyesinde sınırlamak, internete açık uygulamaları izole etmek ve etkilenen servislerin erişimini daraltmak riski azaltabilir. CVE-2026-109618 için memory_limit=-1 ayarı ve kontrollü istek boyutu sınırları önerilen geçici tedbirler arasında yer alıyor; ancak bu ayarlar saldırıyı kesin olarak ortadan kaldırmıyor.