PHP'de Kritik Güvenlik Açıkları Keşfedildi!

PHP'nin temel altyapısında keşfedilen iki kritik güvenlik açığı, dünya genelindeki web siteleri ve sunucular için ciddi bir güvenlik riski oluşturuyor. 21 Ekim 2026'da duyurulan açıklar, saldırganların kimlik doğrulaması yapmadan uzaktaki sistemlerde kod çalıştırmasına olanak tanıyabiliyor. PHP geliştiricileri güvenlik güncellemelerini yayımlarken sistem yöneticilerine de vakit kaybetmeden güncelleme yapmaları çağrısında bulunuyor.

İki Kritik Güvenlik Açığı Tespit Edildi

PHP ekibi tarafından yayımlanan güvenlik duyurusunda CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen iki kritik güvenlik açığı açıklandı. Her iki açık da belirli koşullarda saldırganların sunucuda yetkisiz kod çalıştırmasına neden olabiliyor.

İlk güvenlik açığı, PHP'nin bellek yetersizliği durumlarını işlerken ortaya çıkabilen bellek bozulmasıyla ilişkili. İkinci açık ise bir istek sırasında kullanılan dahili verilerin, ilgili bellek serbest bırakıldıktan sonra yeniden kullanılabilmesinden kaynaklanıyor.

Bu açıkların başarılı şekilde istismar edilmesi durumunda saldırganlar, PHP işleminin yetkileri dahilinde sunucu üzerinde işlem gerçekleştirebilir, hassas verilere erişebilir veya etkilenen uygulamaların güvenliğini tehlikeye atabilir. Risk, yalnızca belirli bir içerik yönetim sistemiyle sınırlı değil; PHP kullanan farklı web uygulamaları da etkilenebiliyor.

Hangi PHP Sürümleri Etkileniyor?

Güvenlik duyurularına göre web isteklerini işleyen PHP kurulumları risk altında. PHP-FPM, Apache mod_php, php-cgi ve LiteSpeed gibi farklı çalışma yapılandırmaları da bu kapsamda değerlendiriliyor.

PHP ekibinin yayımladığı düzeltmeleri içeren sürümler şunlar:

• PHP 8.5.12

• PHP 8.4.27

• PHP 8.3.36

• PHP 8.2.35

Bu sürümlerin önceki versiyonlarında çalışan sistemlerin güncellenmesi gerekiyor. PHP 8.1 ve daha eski, desteği sona ermiş sürümlerde ise standart güvenlik güncellemeleri sunulmayabileceğinden dağıtım sağlayıcısının sunduğu yamalar kontrol edilmeli veya desteklenen bir sürüme geçiş planlanmalı.

PHP'nin yaygın kullanımı nedeniyle güvenlik açığı; WordPress, Joomla, Drupal ve benzeri sistemleri barındıran sunucular açısından da önem taşıyor. Ancak her web sitesinin aynı ölçüde risk altında olduğu anlamına gelmiyor; kullanılan PHP sürümü, çalışma yapılandırması ve uygulama ortamı belirleyici oluyor.

Sistem Yöneticileri Ne Yapmalı?

Sunucu yöneticilerinin ilk adım olarak altyapılarında kullanılan PHP sürümlerini tespit etmesi ve özellikle internet üzerinden erişilebilen sistemleri önceliklendirmesi gerekiyor.

Alınması gereken başlıca önlemler şöyle:

• PHP kurulumlarını güvenlik düzeltmesi içeren sürümlere yükseltin.

• cPanel, WHM ve diğer hosting panelleri üzerinden kullanılan PHP sürümlerini ve güncelleme durumlarını kontrol edin.

• İşletim sistemi paketleri veya üçüncü taraf depolar kullanılıyorsa ilgili sağlayıcının güvenlik yamalarını inceleyin.

• Güncelleme öncesinde ve sonrasında sistem günlüklerini kontrol ederek olası yetkisiz erişim belirtilerini araştırın.

• Güncellemenin hemen yapılamadığı durumlarda resmi güvenlik duyurularındaki geçici önlemleri uygulayın; yeterli koruma sağlanamıyorsa internete açık hizmetleri geçici olarak izole etmeyi değerlendirin.

Önemli bir nokta da yalnızca PHP sürüm numarasını kontrol etmenin yeterli olmayabilmesidir. Bazı Linux dağıtımları, kendi paketlerine güvenlik düzeltmelerini geriye taşıyabilir. Bu nedenle kurulu paketin sağlayıcı tarafından yamalanıp yamalanmadığı ayrıca doğrulanmalıdır.

PHP tabanlı uygulamaları barındıran sunucularda güvenlik güncellemelerinin geciktirilmesi, tek bir uygulamadan daha geniş bir altyapıyı etkileyebilecek riskler doğurabilir. Özellikle birden fazla web sitesinin aynı sunucuda çalıştığı hosting ortamlarında PHP sürümlerinin envanterinin çıkarılması ve güncelleme sürecinin planlı şekilde yürütülmesi büyük önem taşıyor.

PHP geliştiricileri, açıklanan iki kritik açığın giderilmesi için güvenlik sürümlerini yayımladı ve kullanıcıları mümkün olan en kısa sürede güncelleme yapmaya çağırdı. Sunucu yöneticilerinin resmi duyuruları takip etmesi, kullanılan paketleri doğrulaması ve güncelleme sonrasında sistemlerini kontrol etmesi gerekiyor.

Sonuç olarak, PHP'de keşfedilen bu güvenlik açıkları, web altyapılarında düzenli yama yönetiminin ne kadar önemli olduğunu bir kez daha ortaya koyuyor. PHP kullanan sunucularda sürüm kontrolü ve güvenlik güncellemeleri ertelenmemeli.