Üzerinde php yazan mavi PHP fil maskotu ElePHPant (temsili)

Siber Güvenlik Başkanlığı (SGB), PHP programlama dilini etkileyen ve araştırmacıların «php2shell» adını verdiği iki açık (CVE-2026-109618 ve CVE-2026-109619) için 21 Ekim 2026'da TR-26-1372 numaralı güvenlik bildirimi yayımladı. Açıklar saldırganların kimlik doğrulaması olmadan uzaktan kod çalıştırmasına izin verebiliyor. PHP aynı gün PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleriyle açıkları kapattı ve tüm kullanıcılara hemen güncellemeyi önerdi. PHP, web sitelerinin sunucu tarafında kullanılan bir programlama dili; açıklar bir eklentide değil, PHP'nin kendisinde bulunuyor.

Açıklar ne yapıyor

PHP güvenlik ekibi her iki güvenlik açığını da CVSS v4.0 standardına göre 9,2 puanla değerlendirdi. İlk açık CVE-2026-109618, PHP'de bellek yetersizliği (out-of-memory) hatası oluştuğunda ortaya çıkıyor. Bu hata isteği, veriler yalnız kısmen hazırlanmışken kesebiliyor; istek temizliği de bu yarım veriyi geçerli sanabiliyor. Çok parçalı (multipart) dosya yükleme biçimindeki istek ayrıştırma sorunları, isteğin PHP sınırları içinde görünürken belleği tüketmesine yol açabiliyor. İkinci açık CVE-2026-109619, önceki istekten kalan durum bilgisinden kaynaklanıyor. Bir HTTP isteğine ait iç durum, belleği serbest bırakıldıktan sonra da kalabiliyor ve aynı işçi sürecin (worker) işlediği sonraki bir istek bu eski veriyi kullanabiliyor (use-after-free).

Web isteklerine hizmet veren PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed yapılandırmaları risk altında bulunuyor. PHP, en yüksek riskin Apache mod_php tarafında olduğunu bildirdi. Bu ortamda kimliği doğrulanmamış tek bir HTTP isteği, uygulamanın kendi kodu hiç çalışmadan saldırıyı tetikleyebiliyor. SGB'ye göre başarılı istismarda sistemlerde yetkisiz kod çalıştırılabilir, sistem kaynaklarına erişilebilir, verilerin gizliliği ve hizmet sürekliliği olumsuz etkilenebilir.

Hangi sürüme geçmeli

Linux dağıtımları ve uzun süreli destek (LTS) sağlayıcıları yamaları önceden aldı; yöneticilerin dağıtım paketlerini kontrol etmesi gerekiyor. PHP 8.1 ve daha eski sürümler artık resmi PHP projesinden güvenlik güncellemesi almıyor. Bu sürümleri kullananların desteklenen sürümlere geçmesi veya sağlayıcılarına başvurması gerekiyor. Açıkların etkisi nedeniyle PHP güvenlik ekibi kaynaktan derleme yapanlar için 7.4, 8.0 ve 8.1 sürümlerine asgari kaynak kod yamaları da sağladı. Gönüllülerce yürütülen remirepo (rpms.remirepo.net) deposunu kullananlar için PHP, dağıtım paketlerine veya kaynaktan derlemeye geçilmesini tavsiye etti; deponun 21 Ekim 2026'da güncelleme almayacağı bildirildi. Ayrıca PHP 8.2 sürümünün desteği 31 Aralık 2026'da tamamen sona erecek.

Hemen güncelleyemeyenler için

Sistemleri hemen güncelleyemeyen yöneticiler için PHP bazı yapılandırma adımları paylaştı; ancak bu ayarların yalnız belirli saldırı yollarını kapattığı ve kurulumu tam anlamıyla güvenli yapmadığı bildirildi. CVE-2026-109618 açığına karşı FPM havuzunda veya Apache ayarlarında uygulamaların değiştiremeyeceği biçimde memory_limit=-1 uygulanması, dosya yükleme gerekmeyen yerlerde post_max_size değerinin 8M, gerekiyorsa 32M ile sınırlandırılması ve sunucu düzeyinde istek boyutu limitleri getirilmesi öneriliyor. CVE-2026-109619 açığı için ise php.ini veya FPM havuzunda session.upload_progress.enabled=0 ayarının yapılıp tüm işçi süreçlerin yeniden başlatılması ve PHP 8.5 üzerinde fatal_error_backtraces=0 değerinin tanımlanması tavsiye ediliyor.

Türkiye açısından

T.C. Siber Güvenlik Başkanlığı, yayımladığı TR-26-1372 numaralı bildirimle Türkiye'deki kurum ve kuruluşlara yönelik üç temel önlem sıraladı. SGB, üretici güncellemeleri çıktığında etkilenen sistemlerin gecikmeden güvenli sürümlere yükseltilmesini, yönetim arayüzlerine ve kritik PHP servislerine dış erişimin güvenlik duvarı kurallarıyla yalnız yetkili IP adreslerine sınırlandırılmasını ve yurt dışı erişim ihtiyacı bulunmayan sistemlerin ivedilikle uluslararası trafiğe kapatılmasını istedi.

Sunucu ve web sitesi yöneticilerinin öncelikle komut satırında php -v çalıştırarak mevcut sürümü doğrulaması gerekiyor. Paylaşımlı hosting hizmeti alan kullanıcıların yönetim panellerinden ya da hizmet aldıkları firmalardan güncel sürümü teyit etmeleri, PHP 8.1 ve öncesi sürümlerde kalan uygulamaları ise desteklenen yeni sürümlere taşımaları gerekiyor.

Saldırı durumu

PHP, bu güvenlik güncellemesi için 20 Ekim 2026'da bir ön duyuru yapmış ve yayın saatini 21 Ekim 2026 TSİ 17:00 olarak planlamıştı. Tenable'ın aktardığı bilgilere göre Cloudflare teknoloji direktörü Dane Knecht, X platformunda paylaştığı açıklamada bilinen saldırı yollarına karşı WAF kurallarının devreye alındığını, erken saldırıların görüldüğünü ve WAF önlemlerinin yalnızca geçici bir çözüm olduğunu belirtti. Tenable ayrıca internette dolaşan bazı istismar kodlarının çalıştığının doğrulanmadığını ve bu dosyaların zararlı yazılım içerebileceğini aktardı. Açıklar şu ana kadar CISA'nın Bilinen İstismar Edilen Açıklar (KEV) kataloğuna eklenmedi.

Kaynaklar

Kapak görseli (temsili): Blue Open Goodies ElePHPant — Atomic Taco / Wikimedia Commons, CC BY-SA 2.0 (1200×675 kırpıldı).