PHP iki kritik açığı kapattı, sunucu yöneticilerini uyardı

PHP geliştirme ekibi, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya izin verebilen iki kritik açık için güvenlik güncellemelerini yayımladı. WordPress güvenliği kadar sunucudaki PHP sürümünü de ilgilendiren açıklar, web isteği karşılayan farklı kurulumları etkiliyor. Ekibin 21 Ekim tarihli açıklaması, geçici önlemlerin tam koruma sağlamadığını ve yöneticilerin güncellemeyi geciktirmemesi gerektiğini belirtiyor.

Güvenli sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 olarak sıralanıyor. Kurulu ana sürüme uygun güvenlik paketinin uygulanması gerekiyor. Linux dağıtımlarının ve uzun süreli destek sağlayıcılarının kendi paketlerine düzeltmeleri ekleyebileceği de açıklamada yer alıyor.

Risk yalnızca belirli bir içerik yönetim sistemiyle sınırlı değil. PHP-FPM, Apache üzerinde mod_php, php-cgi, FrankenPHP ve LiteSpeed üzerinden web isteği karşılayan kurulumlar açıklamanın kapsamına giriyor. Ekip, uygulama kodu çalışmadan saldırının tetiklenebildiği bir örnek nedeniyle mod_php için riski özellikle yüksek değerlendiriyor.

CVE-2026-109618, bellek yetersizliği sırasında istek verilerinin kısmen hazırlanmış halde kalmasıyla ilişkili. İstek temizleme aşaması, geçersiz veriyi geçerli kabul edebiliyor. Bu nedenle sorun, yalnızca uygulamanın kendi kodunu denetleyerek ortadan kaldırabileceği bir hata olarak tanımlanmıyor.

PHP yöneticileri sunucudaki paketleri kontrol etmeli

İkinci açık olan CVE-2026-109619 ise belleği serbest bıraktıktan sonra kalabilen eski genel durum verilerine dayanıyor. Aynı çalışan süreç, daha sonraki bir istekte bu veriyi normal başlatma tamamlanmadan kullanabiliyor. İki açık da sunucunun istek işleme aşamasındaki bellek ve durum yönetimiyle ilgili farklı yolları kapsıyor.

Bir web sitesi yönetiyorsanız yalnızca WordPress panelindeki güncelleme listesini kontrol etmek yeterli olmayabilir. PHP paketi barındırma hizmetinin veya sunucu yöneticisinin sorumluluğunda bulunabilir. Bu nedenle hizmet sağlayıcısından uygulanan düzeltmenin hangi paketle geldiğini ve kullanılan PHP dalını doğrulamak gerekiyor.

Bunun yanında PHP 8.1 ve önceki sürümler, PHP projesinin düzenli güncelleme kapsamı dışında kalıyor. Bazı dağıtımlar ve destek sağlayıcıları eski dallara düzeltme taşıyabiliyor. Ekibin açıklaması, bu kurulumlarda sağlayıcıyla görüşülmesini veya desteklenen bir sürüme geçilmesini istiyor.

Öte yandan PHP 8.2 için de destek takvimi daralıyor. Bu dalın güvenlik desteği 31 Aralık 2026 tarihinde sona erecek. Mevcut açığı kapatan paketi uygulamak ile daha uzun süre destek alacak bir PHP dalına geçişi planlamak, ayrı işlemler olarak ele alınmalı.

PHP logosu: Colin Viebrock / PHP.net, CC BY-SA 4.0. Logo, oranları korunarak beyaz 16:9 kapağa yerleştirildi. Kapak düzenlemesi de aynı lisansla sunulur.