Cloudflare, PHP açıklarına karşı ücretsiz koruma açtı, güncelleme hâlâ gerekli

Cloudflare, PHP’deki iki kritik güvenlik açığı için ücretsiz ve ücretli planları kapsayan koruma kurallarını devreye aldı. Şirketin php2shell açıklamasına göre önlemler, açıkların kamuoyuna duyurulmasından yaklaşık dokuz saat önce etkinleşti. Buna rağmen sunucuların PHP güncellemesini yapması gerekiyor.

Cloudflare, müşterilerini hedef alan saldırı trafiği gözlemlediğini ve saldırganların korumayı aşmak için yüklerini değiştirdiğini söylüyor. Açıklama, kaç sitenin ele geçirildiğine ilişkin bir bilanço sunmuyor. Engellenen girişimlerle başarılı veri ihlallerini birbirinden ayırmak bu nedenle önem taşıyor.

Yeni savunma katmanı, yalnızca sunucuya giden isteğe bakmıyor. Aynı bağlantıda sunucunun ürettiği yanıtı da değerlendiriyor ve eşleşen yanıtı isteği yapan kişiye ulaşmadan durdurabiliyor. Böylelikle bir isteğin şüpheli görünmesiyle gerçekten hassas veri döndürmesi arasındaki farkı yakalamayı hedefliyor.

Cloudflare koruması açık olsa da PHP’nin güncellenmesi gerekiyor

PHP ekibinin güvenlik duyurusu, web isteği işleyen bütün PHP kurulumlarını risk kapsamında sayıyor. PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed bu listeye giriyor. Ekip, uygulamanın kendi kodu çalışmadan saldırının tetiklenebildiği gösterildiği için mod_php riskini özellikle vurguluyor.

İki açık CVE-2026-109618 ve CVE-2026-109619 numaralarını taşıyor. İlki bellek yetersizliği sırasında oluşan bozulmayla, ikincisi serbest bırakılan belleğe ait eski durum bilgisinin yeniden kullanılmasıyla ilişkili. Bu sorunlar bir WordPress eklentisindeki hatadan kaynaklanmıyor. Dolayısıyla sadece içerik yönetim sistemini ya da eklentileri yenilemek PHP çalışma ortamındaki açığı kapatmıyor.

Sunucu yönetiyorsanız kullandığınız dağıtımın paketlerini ve barındırma sağlayıcınızın duyurusunu kontrol etmeniz gerekiyor. PHP projesi 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini öneriyor. Eski sürümler için bazı dağıtımlar geriye uyarlanmış yamalar sunabiliyor. Bunlara ek olarak, güncellemeyi sağlayıcının yönettiği hizmetlerde hangi paketin uygulandığını doğrudan teyit etmek gerekiyor.

Şirket, engellenen istekleri incelemek isteyen yöneticileri güvenlik analitiğindeki olaylar ekranına yönlendiriyor. Kural kimlikleriyle filtreleme yapmak, hangi isteğin hangi işlemle durduğunu görmeyi sağlıyor. Bu kayıtlar, korumanın uygulamanızın hangi yollarında devreye girdiğini anlamaya yardımcı oluyor. Yöneticiler, gerekli durumlarda yönetilen kuralların kapsamını uygulamanın ilgili bölümlerine göre düzenleyebiliyor.

Cloudflare’nin ücretsiz WAF kuralları otomatik çalışıyor. Ücretli plan kullananların ise yönetilen kuralların engelleme modunda olduğunu kontrol etmesi isteniyor. Öte yandan PHP ekibi, geçici önlemlerin yalnızca belirli saldırı yollarını daralttığını belirtiyor. Güvenlik duvarı burada ek katman sağlıyor, kalıcı düzeltmeyi PHP güncellemesi getiriyor.