PHP, Uzaktan Kod Yürütmeye İzin Veren ve 9,2 Puanla Derecelendirilen İki Kritik Açığı Yamadı

PHP, web üzerinden erişilebilen kurulumları etkileyen ve CVSS 4.0’da 9,2 puan alan iki CVE-2026 açığını tespit etmesinin ardından 21 Ekim 2026’da güvenlik güncellemelerini yayımladı. PHP güvenlik ekibi, kullanıcıları yamaları derhal yüklemeye çağırdı. Açıklar CVE-2026-109618 ve CVE-2026-109619 olarak izleniyor. İlk açık, bellek yetersizliği durumunun ele alınması sırasında oluşan bozulmayla ilgili: PHP bir isteği temizlerken geçersiz verilere erişebiliyor ve bu da saldırganların uzaktan kod yürütmesine olanak tanıyabiliyor.

CVE-2026-109619, serbest bırakılmış istek belleğini işaret edebilen eski global durumla ilgili. Program durumunu tamamen başlatmadan önce sonraki bir istek bu belleğe erişebilir ve bu da uzaktan kod yürütme riski oluşturur. Güvenlik duyurusuna göre etkilenen kurulumlar arasında PHP-FPM, mod_php kullanan Apache, php-cgi, FrankenPHP ve LiteSpeed bulunuyor.

Düzeltilmiş sürümler PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12. PHP 8.1 ve daha eski sürümler artık PHP projesinden güncelleme almıyor; ancak bazı dağıtımlar ve uzun süreli destek sağlayıcıları, düzeltmeleri geriye dönük olarak sunabilir. Erken saldırılara ilişkin haberler de açıkları gündeme taşıdı.

Cloudflare CTO’su Dane Knecht, yeni saldırı vektörleri ortaya çıktıkça şirketin geçici önlemleri güncellediğini söyledi; ancak bu önlemlerin PHP güncellemelerini yüklemenin yerini tutmayacağı konusunda uyardı.

İlk saldırıların bildirildiği ve güvenlik duvarı önlemlerinin geçici olduğu belirtildiğine göre, web sitesi sahipleri PHP yamalarını ne kadar hızlı yüklemeli?