İnternette Acil güvenlik uyarısı: PHP’de kritik açık! Yama çıktı ancak hosting kontrolü şart

İnternet dünyasını büyük çapta tehdit eden, FBI Cyber Division'u acil uyarı geçirecek seviyede bir güvenlik açığı ile karşı karşıyayız. PHP kullanan web siteleri için acil güncelleme çağrısı yapıldı. PHP güvenlik ekibi, 21 Ekim 2026’da iki kritik açığı kapatan sürümleri yayımladı. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla izlenen açıklar, uygun koşullarda saldırganların giriş yapmadan sunucuda kod çalıştırmasına izin verebiliyor. Her iki açığın CVSS 4.0 önem puanı 10 üzerinden 9,2.

Yamanın yayımlanması, her sitenin otomatik olarak korunduğu anlamına gelmiyor. Özellikle paylaşımlı ve yönetilen hosting kullananların, düzeltmenin kendi sitelerini çalıştıran PHP ortamına uygulandığını sağlayıcılarından teyit etmesi gerekiyor.

Kritik PHP güvenlik açığı ne yapabiliyor?

Birinci açık, bellek tükenmesi sırasında PHP’nin iç verilerini hatalı durumda bırakabilmesiyle ilişkili. İkinci açıkta ise önceki isteğe ait, artık serbest bırakılmış belleğe işaret eden durum bilgisi sonraki istekte kullanılabiliyor. Sonuç, belirli koşullarda uzaktan kod çalıştırma olabiliyor.

İlk resmî teknik bildirimde Apache’nin mod_php yapılandırmasında uygulama kodu başlamadan tetiklenebilen bir saldırı gösteriliyor. PHP-FPM ve diğer çalışma biçimlerinde koşullar farklılaşabiliyor. PHP ekibi web isteklerini karşılayan bütün PHP kurulumlarının değerlendirilmesini istiyor; belirli bir sunucu tipinin kullanılması tek başına güvence oluşturmuyor.

Yama hangi sürümlerde var?

PHP’nin resmî duyurusundaki düzeltilmiş sürümler şöyle:

Örneğin standart PHP 8.4.25 veya 8.4.26, bu güvenlik sürümü değil. Bununla birlikte bazı dağıtımlar ve uzun süreli destek sağlayıcıları düzeltmeyi eski sürüm numarasını koruyarak paketlerine taşıyabiliyor. Böyle bir durumda paket revizyonu ve sağlayıcının iki CVE için yayımladığı güvenlik bildirimi esas alınmalı.

Hosting firmasından ne istemelisiniz?

Paylaşımlı veya yönetilen hosting hizmetinizde güncel PHP paketini sunmak ve sunucuya uygulamak çoğunlukla hosting sağlayıcısının sorumluluğunda. Kendi sunucusunu yönetenlerin ise güncellemeyi sistem yöneticisiyle tamamlaması gerekiyor. Kontrol panelinde yalnızca “PHP 8.4” seçili olması, kullanılan alt sürümü ve yamanın uygulandığını göstermiyor.

Destek kaydında şu teyidi isteyin: “Sitemi çalıştıran PHP ortamında CVE-2026-109618 ve CVE-2026-109619 düzeltmeleri uygulandı mı? Etkin paket sürümü/revizyonu nedir ve çalışan PHP süreçleri yenilendi mi?” Sağlayıcının güncelleme duyurusu ile kendi hesabınızın fiilen güncellenmesi arasında fark bulunabileceğinden, yanıtın sitenizin bulunduğu sunucuyu kapsadığından emin olun.

WordPress kullananlar için de sunucudaki PHP katmanı ayrıca kontrol edilmeli. WordPress çekirdeği, tema veya eklenti güncellemesi PHP motorundaki yamayı kendiliğinden kurmuyor. PHP ekibi, geçici ayar değişikliklerinin tam koruma sağlamadığını; kapsamlı çözümün düzeltmeyi içeren sürüme geçmek olacağını belirtiyor.

ALPOTECH yorumu: Asıl konu, çalışan hosting'inizin güncellenmesi

Site sahipleri açısından en değerli bilgi, yama duyurusunun tarihi kadar kendi hizmetlerinin güncellenme durumu. Sağlayıcıdan alınan açık bir paket ve uygulama teyidi, panelde görünen genel sürüm etiketinden daha anlamlı. Bu haber, belirli bir sitenin saldırıya uğradığına veya güvenli olduğuna ilişkin bir denetim sonucu sunmuyor.

Kaynaklar: PHP güvenlik duyurusu ve sürümler · CVE-2026-109618 teknik bildirimi · CVE-2026-109619 teknik bildirimi · PHP Foundation’ın 21 Ekim açıklaması.

Kontrol: 22 Ekim 2026. Kapak: php.net kaynaklı resmî PHP logosu; temsili kullanım, saldırı görüntüsü değildir.