İnternet sitelerinin altyapısında yaygın olarak kullanılan PHP'de iki kritik güvenlik açığı tespit edildi.
Uzaktan kod çalıştırılmasına imkan tanıyabileceği belirtilen açıklar için acil güncelleme hazırlanıyor.
Güvenlik araştırmacıları, sistem yöneticilerini yamalar yayımlanana kadar gelişmeleri yakından takip etmeleri konusunda uyarıyor.
PHP için kritik güvenlik güncellemesi hazırlanıyor
PHP geliştirme ekibi, 20 Ekim'de yaptığı duyuruda iki güvenlik açığını giderecek güncellemelerin 21 Ekim 2026'da Türkiye saatiyle 17.00'de yayımlanmasının planlandığını açıkladı. Her iki açık da CVSS v4.0 değerlendirmesinde 10 üzerinden 9,2 puan aldı.
Açıkların teknik ayrıntıları ve etkilenen PHP sürümleri henüz resmi olarak açıklanmadı. Ancak güvenlik araştırmacıları, açıkların uzaktan kod yürütme saldırılarına yol açabileceğini belirtiyor. Böyle bir saldırı, kötü niyetli kişilerin savunmasız bir sunucuda uzaktan kod çalıştırmasına ve sistem üzerinde kontrol sağlamaya çalışmasına imkan tanıyabilir.
PHP ekibi, açıkların ayrıntılarının sızması veya aktif saldırılarda kullanıldıklarına ilişkin kanıtların ortaya çıkması halinde güncellemeleri planlanan tarihten önce yayımlayabileceğini bildirdi.
PHP2Shell iddiası endişeleri artırdı
Güvenlik araştırmacıları, CVE-2026-109618 ve CVE-2026-109619 kimlikleriyle takip edildiği belirtilen açıkların farklı PHP sürümlerini etkileyebileceğini öne sürüyor. Güvenlik şirketi watchTowr, açıkların gerçek olduğunu doğruladığını ve en az birini yeniden üretmeyi başardığını açıkladı. Şirketin değerlendirmesine göre PHP 5, 6, 7 ve 8 sürümleri etkileniyor olabilir. Ancak bu kapsam henüz PHP ekibi tarafından doğrulanmış değil.
Endişeleri artıran bir diğer gelişme ise PHP2Shell adı verilen bir istismar aracına ilişkin görüntülerin ortaya çıkması oldu. Söz konusu görüntülerde WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel ve Drupal gibi PHP tabanlı uygulamaların çalıştığı sunucularda kod yürütülebildiği iddia ediliyor.
Bununla birlikte, belirli uygulamaların listede yer alması tek başına bu yazılımların tamamının doğrudan savunmasız olduğu anlamına gelmiyor. Gerçek risk, kullanılan PHP sürümüne, uygulama yapılandırmasına ve açığın nasıl tetiklendiğine bağlı olacak.
Güvenlik uzmanlarından yama uyarısı
Güvenlik şirketleri, teknik ayrıntıların yayımlanmasıyla saldırganların açıkları istismar etmeye yönelik çalışmalarını hızlandırabileceği konusunda uyarıyor. Sansec, yamaların yayımlanmasının ardından kitlesel saldırıların 15 dakika gibi kısa bir sürede başlayabileceğini öngördü. Ancak bu süre bir tahmin niteliğinde; saldırıların bu zaman aralığında başlayacağı kesinleşmiş değil.
watchTowr ise açıkların aktif saldırılarda kullanıldığına ilişkin henüz bir bulguya rastlamadığını belirtti. Şirket, yamalar yayımlanana kadar ayrıntılı teknik bilgileri paylaşmayacağını açıkladı.
Sistem yöneticilerinin PHP kullanan sunucularını ve uygulamalarını belirlemesi, güncelleme planlarını hazırlaması ve resmi duyuruları takip etmesi öneriliyor. Özellikle internet üzerinden erişilebilen kritik sunucularda ek güvenlik önlemleri değerlendirilirken, hizmet kesintisine yol açabilecek değişikliklerin kontrollü biçimde uygulanması gerekiyor.
Milyonlarca sunucu risk altında olabilir
PHP; içerik yönetim sistemlerinden e-ticaret platformlarına, kurumsal yazılımlardan özel web uygulamalarına kadar internetin pek çok alanında kullanılıyor. Bu nedenle dilin kendisini etkileyen ciddi bir güvenlik açığı, çok sayıda farklı hizmeti ilgilendirebilir.
Bir güvenlik araştırmacısı, yaklaşık 1,3 milyon internete bağlı sunucunun bu açıklardan etkilenebileceğini öne sürdü. Ancak bu sayı, PHP ekibi tarafından doğrulanmış kesin bir etkilenen sunucu sayısı değil.
Yamalar yayımlandığında sistem yöneticilerinin kullandıkları PHP sürümlerini kontrol ederek ilgili güvenlik güncellemelerini mümkün olan en kısa sürede yüklemesi önem taşıyor. Açıkların kesin kapsamı ve giderilme yöntemleri ise resmi güncellemelerle birlikte netleşecek
