PHP'de iki kritik güvenlik açığı: Güncelleme uyarısı

ANKARA - BHA

İnternet siteleri ve web uygulamalarında yaygın olarak kullanılan PHP programlama dilinde tespit edilen iki güvenlik açığı, sunucu yöneticileri ve internet sitesi sahipleri için risk oluşturuyor. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlanan açıkların, saldırganların kullanıcı girişi yapmadan savunmasız sistemlerde uzaktan kod çalıştırmasına imkân verebildiği bildirildi.

PHP güvenlik ekibinin açıklamasına göre her iki açık da 10 üzerinden 9,2 kritik önem derecesine sahip. Güvenlik açıklarının kötüye kullanılması durumunda internet sitelerinin çalıştığı sunuculara yetkisiz erişim sağlanması ve sistemlerdeki verilerin tehlikeye girmesi söz konusu olabiliyor.

Güvenlik açıklarının ayrıntıları güncellemeden önce ortaya çıktı

Güvenlik açıklarına ilişkin teknik bilgilerin, planlanan güncelleme tarihinden önce kamuoyuna yansıması endişeleri artırdı. PHP güvenlik ekibi, açıkları gidermek amacıyla hazırlanan güncellemeleri 21 Ekim 2026 tarihinde kullanıma sundu.

Sorunun PHP yazılımının temel bileşenlerinden kaynaklandığı, belirli bir internet sitesi veya içerik yönetim sistemiyle sınırlı olmadığı belirtildi. Bu nedenle WordPress, Drupal ve Joomla gibi PHP tabanlı sistemlerin savunmasız sürümleri kullanan sunucuları da risk altında bulunuyor.

Dört PHP sürümü için güvenlik güncellemesi yayımlandı

PHP geliştiricileri, tespit edilen iki güvenlik açığını gidermek amacıyla PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 ve PHP 8.2.35 sürümlerini yayımladı.

Yayımlanan güvenlik duyurusunda, güncellemelerin her iki açığı da giderdiği belirtilerek kullanıcıların desteklenen sürümlere geçmesi istendi. PHP 8.1 ve daha eski sürümlerin ise resmî destek kapsamında bulunmadığı, bu sürümleri kullanan sistemlerin güncel ve desteklenen sürümlere geçirilmesi gerektiği bildirildi.

Geçici önlemler tek başına yeterli değil

Türkiye'de hosting hizmeti veren Güzel Hosting'in müşterilerine gönderdiği bilgilendirmede de güvenlik açıklarına karşı alınan önlemlere yer verildi.

Şirket, sorunun kendi altyapısından değil, dünya genelinde kullanılan PHP yazılımından kaynaklandığını belirtti. Bilgilendirmede, güvenlik güncellemeleri yayımlanmadan önce geçici önlem olarak session.upload_progress.enabled ayarının kapatıldığı aktarıldı.

Ancak PHP güvenlik ekibi, geçici yapılandırma değişikliklerinin bütün saldırı yöntemlerini engellemediğini ve güvenlik açıklarının tamamen giderilebilmesi için güncellemelerin uygulanması gerektiğini vurguladı.

Bazı ülkelerde internet siteleri geçici olarak kapatıldı

Reuters'ın haberine göre güvenlik açıklarının ortaya çıkmasının ardından Avrupa'daki bazı kamu kurumları, okullar ve hastanelere ait internet siteleri önlem amacıyla geçici olarak erişime kapatıldı.

Almanya, Fransa, Hollanda ve Finlandiya'da bazı kamu hizmetlerine ait internet sitelerinde tedbir amaçlı kesintiler yaşandı. Yetkililer, söz konusu adımların olası siber saldırılara karşı alındığını bildirdi.

PHP geliştiricileri, internet sitesi sahipleri ve sistem yöneticilerinin kullandıkları PHP sürümlerini kontrol etmelerini, güvenlik güncellemelerini uygulamalarını ve destek süresi sona ermiş sürümleri güncellemelerini tavsiye ediyor.