PHP güvenlik ekibi, 21 Ekim 2026'da kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına yol açabilen iki kritik açık için güvenlik güncellemelerini yayımladı. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla izlenen ve PHP2Shell adıyla da anılan zafiyetler, haber siteleri dâhil PHP tabanlı web uygulamalarını ilgilendiriyor. PHP.net'in resmî güvenlik duyurusu, etkilenen kurulumların gecikmeden güncellenmesini istiyor.
Habersoft tüm sunucularına güvenlik yamalarını ilk 12 saatte uyguladı
Habersoft olarak, 21 Ekim'de yayımlanan PHP güvenlik güncellemesinin ardından tüm sunucularımızda gerekli güvenlik yamalarının uygulanmasını ilk 12 saat içinde tamamladık. Güncellemeler, kullandığımız PHP sürümlerine geriye uyarlanmış yamalarla gerçekleştirildi.
Geriye uyarlanmış yama, güvenlik düzeltmesinin mevcut sürüm dalına taşınmasıdır. Bu yöntemde temel PHP sürüm numarası aynı kalabilir. Dolayısıyla yama durumunu değerlendirirken paket revizyonunun ve uygulanan güvenlik düzeltmesinin kaydı da incelenmelidir. Habersoft sunucularındaki bu çalışma, duyuruda belirtilen iki PHP zafiyetine yönelik güvenlik güncellemesini kapsıyor.
Habersoft müşterileri, bu sunucu güncellemesiyle ilgili sorularını teknik ekibimize iletebilir. Yayın altyapımızın kapsamını öğrenmek isteyenler sunucu altyapısı sayfamızı inceleyebilir.
PHP2Shell nedir, iki güvenlik açığı nasıl bir risk oluşturuyor?
Uzaktan kod çalıştırma (RCE), bir saldırganın sunucu üzerinde yetkisiz kod yürütmesine imkân veren bir güvenlik etkisidir. Bu olayda risk, PHP'nin bellek ve istek yönetimindeki hatalardan kaynaklanıyor. PHP projesinin iki teknik bildiriminde de CVSS v4.0 önem puanı 9,2/10, kritik olarak veriliyor.
CVE-2026-109618: Bellek yetersizliği sırasında veri yapılarının bozulması
PHP'nin bellek yetersizliğiyle karşılaştığı bazı durumlarda, henüz tamamen hazırlanmamış istek verileri geçersiz durumda kalabiliyor. İstek sonlandırılırken bu verilerin kullanılması güvenlik açığına yol açıyor. PHP ekibi, Apache mod_php üzerinde uygulama kodu çalışmaya başlamadan önce de tetiklenebilen bir saldırı yolunun doğrulandığını bildiriyor. Ayrıntılar, CVE-2026-109618 için yayımlanan resmî teknik bildirimde yer alıyor.
CVE-2026-109619: Önceki istekten kalan geçersiz durumun yeniden kullanılması
İkinci açıkta, bir isteğe ait bellek serbest bırakıldıktan sonra PHP çalışan sürecinde bu belleğe işaret eden durum bilgisi kalabiliyor. Aynı sürecin daha sonraki bir istekte bu bilgiyi kullanması, serbest bırakılmış belleğe erişilmesine neden oluyor. Teknik bildirime göre sonuçlar bellek verilerinin açığa çıkmasını ve web çalışanının yetkileriyle uzaktan kod çalıştırılmasını içerebiliyor. Kaynak: CVE-2026-109619 resmî teknik bildirimi.
Hangi PHP sürümleri güncellenmeli?
21 Ekim 2026 tarihli güvenlik sürümleri şunlardır. Her satır kendi PHP sürüm dalı içinde değerlendirilmelidir.
| PHP dalı | Etkilenen sürümler (aynı dalda) | Düzeltmeyi içeren sürüm |
|---|---|---|
| PHP 8.2 | 8.2.35 öncesi | 8.2.35 |
| PHP 8.3 | 8.3.36 öncesi | 8.3.36 |
| PHP 8.4 | 8.4.27 öncesi | 8.4.27 |
| PHP 8.5 | 8.5.12 öncesi | 8.5.12 |
PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed kullanan web kurulumları değerlendirme kapsamına giriyor. PHP ekibi, mod_php için riski özellikle yüksek görüyor. Bir sunucu türünün listede bulunması, her kurulumun aynı koşullarda istismar edilebildiği anlamına gelmez; yapılandırma ve uygulama akışı da etkilidir. Sürüm ve kapsam bilgileri için PHP.net güvenlik duyurusuna başvurulmalıdır.
PHP 8.1 ve daha eski dalların PHP projesinden düzenli güvenlik desteği almadığı da dikkate alınmalı. Dağıtım veya uzun süreli destek sağlayıcısının sunduğu yamalar ayrıca doğrulanmalı; desteklenen bir dala geçiş planlanmalıdır. Destek takvimi PHP'nin desteklenen sürümler sayfasında yayımlanıyor.
Siber Güvenlik Başkanlığı'nın açıklaması ve Türkiye'deki uyarı
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, PHP zafiyetlerinin oluşturabileceği risklerin erken tespiti ve etkilerinin sınırlandırılması için ulusal ölçekte güvenlik taramalarının başlatıldığını açıkladı. İlgili kurum ve kuruluşlara acil güvenlik bildirimleri iletildiğini duyurdu. Anadolu Ajansı'nın aktardığı açıklamada, sistem yöneticilerine internete açık altyapılarını gözden geçirme ve güvenlik güncellemelerini ivedilikle uygulama çağrısı yapıldı.
Başkanlığın 21 Ekim 2026 tarihli TR-26-1372 numaralı güvenlik bildirimi, aynı iki CVE kodunu içeriyor. Bildirim, yetkisiz kod çalıştırılmasının uygulama verilerinin gizliliğini ve bütünlüğünü, ayrıca hizmetlerin sürekliliğini etkileyebileceğini belirtiyor. Önerilen önlemler arasında şunlar bulunuyor:
- Etkilenen sistemlerin belirlenmesi ve üreticinin güvenli sürümlerine gecikmeden yükseltilmesi.
- Yönetim arayüzleri ile kritik PHP servislerine dış erişimin, güvenlik duvarı ve erişim kontrol kurallarıyla güvenilir veya yetkili IP adresleriyle sınırlandırılması.
- Yurt dışı erişimine ihtiyacı bulunmayan sistemlerin uluslararası trafiğe kapatılması.
Başkanlığın erken uyarı metninde resmî teknik ayrıntıların yayımlanmasının beklendiği belirtiliyor. PHP ekibi, aynı gün düzeltmeleri ve nihai teknik bildirimleri yayımladı. Güncelleme kararı alınırken bu son duyurular esas alınmalı.
Haber sitesi sahipleri açısından ne anlama geliyor?
Haber sitelerinde yayın paneli, içerik işlemleri ve ziyaretçiye sunulan sayfalar aynı sunucu altyapısının farklı parçalarını kullanabilir. PHP çalışma ortamındaki bir güvenlik açığı bu nedenle yayıncının günlük operasyonunu da ilgilendirir. Olası etkiyi değerlendirirken yalnızca ana sayfanın açılıp açılmadığına bakmak yeterli olmaz; yönetim paneli ve içerik verileri de korunması gereken alanlardır.
Sunucunun güvenlik yamasıyla güncellenmiş olması, geçmişte bir ihlal yaşandığı veya yaşanmadığı hakkında tek başına sonuç vermez. Şüpheli bir belirti varsa kayıtlar ve uygulama davranışı ayrıca incelenmelidir. Benzer şekilde HTTPS kullanılması, PHP çalışma ortamına yönelik bu iki açığın giderildiğini göstermez.
Kendi sunucusunu yöneten yayıncılar için kontrol listesi
- Çalışan PHP ortamlarını belirleyin. Web sitesinin kullandığı PHP ile komut satırındaki PHP farklı olabilir. Her site ve çalışan servis ayrı kontrol edilmelidir.
- Yamanın dayanağını doğrulayın. Resmî güvenlik sürümünü veya sağlayıcının bu CVE'leri gideren paket revizyonunu kontrol edin. Geriye uyarlanmış yamalarda temel sürüm numarası tek başına yeterli kanıt değildir.
- Güncellenmiş kodun çalışan servise geçtiğini kontrol edin. Paket kurulumu ile servislerin yeni kodu kullanması ayrı aşamalardır. Sağlayıcının yeniden başlatma ve doğrulama talimatları izlenmelidir.
- İnternete açık yönetim erişimlerini gözden geçirin. Yetkili erişim sınırlarını Başkanlığın bildirimindeki önerilerle birlikte değerlendirin.
- Yedek ve geri dönüş hazırlığını kontrol edin. Yayın verilerinin korunması için güncel yedeğin kullanılabilirliğini doğrulayın. Habersoft'un yaklaşımı için yedekleme çözümlerimizi inceleyebilirsiniz.
PHP ekibi, yalnızca güncellemenin tam çözüm sunduğunu belirtiyor. Güvenlik duvarı veya WAF kuralları belirli saldırı yollarındaki maruziyeti azaltabilse de yamayı ikame etmez. DDoS koruması da ayrı bir savunma alanıdır; PHP güvenlik güncellemesi ayrıca uygulanmalıdır.
Resmî kaynaklar ve açıklama
- PHP.net: 21 Ekim 2026 kritik güvenlik duyurusu ve güvenlik sürümleri
- PHP projesi: CVE-2026-109618 teknik bildirimi
- PHP projesi: CVE-2026-109619 teknik bildirimi
- Siber Güvenlik Başkanlığı: TR-26-1372 numaralı güvenlik bildirimi
- Anadolu Ajansı: Başkanlığın ulusal ölçekte tarama açıklaması
Teknik bilgiler 22 Ekim 2026 itibarıyla yayımlanan duyurulara dayanır. Habersoft sunucularına ilişkin ilk 12 saatte güncelleme bilgisi, Habersoft'un kurumsal bilgilendirmesidir.