PHP güvenlik ekibi, 9,2 kritiklik puanına sahip iki uzaktan kod yürütme açığını kapatmak üzere 21 Ekim günü olağan dışı bir acil güvenlik güncellemesi yayımlayacağını duyurdu.
Üç noktada haber
PHP ekibi, CVSS v4.0 ölçeğinde 9,2 puan alan iki kritik açık için 21 Ekim'de acil yama yayımlayacağını duyurdu.
Resmi güvenlik yamaları yalnızca PHP 8.2, 8.3, 8.4 ve 8.5 sürümleri için sunulacak; eski sürümlere yama verilmeyecek.
İnternete açık sunuculardan sürüm bildiren yaklaşık 1,5 milyon sistemin yüzde 59'u desteği bitmiş PHP 8.1 veya daha eski sürümleri kullanıyor.
PHP güvenlik ekibi, CVSS v4.0 derecelendirmesine göre 10 üzerinden 9,2 kritiklik puanına sahip iki güvenlik açığını kapatmak için 21 Ekim günü TSİ 17.00'de (14.00 UTC) olağan dışı bir güvenlik güncellemesi yayımlayacağını açıkladı. Geliştirici ekibi, sistem yöneticilerine yamalar hazır olur olmaz sistemlerini güncelleyebilmek adına şimdiden hazırlık yapmaları yönünde uyarıda bulundu. Duyuruda, açıkların ayrıntılarının kamuoyuna sızması veya aktif saldırı tespit edilmesi halinde yamaların planlanan saatten daha önce de yayımlanabileceği belirtildi.
Siber güvenlik araştırmacıları tarafından gayriresmî olarak "php2shell" şeklinde adlandırılan ve CVE-2026-109618 ile CVE-2026-109619 kodlarıyla izlenen açıkların uzaktan kod yürütülmesine olanak tanıdığı bildirildi. Güvenlik şirketi watchTowr, güvenlik açıklarının gerçek olduğunu ve laboratuvar ortamında doğrulandığını ifade etti. Buna karşın PHP ekibi, resmi yama paketi dağıtılana kadar etkilenen bileşenleri ve teknik çalışma prensibini ayrıntılandırmadı; Shodan ve siber güvenlik şirketi Huntress verilerine göre saldırıların henüz fiilen başladığına dair bir kanıt bulunmuyor.
Yayımlanacak güvenlik yamaları yalnızca PHP'nin aktif desteklenen dört ana sürüm dalını kapsıyor: 8.2, 8.3, 8.4 ve 8.5. Destek ömrü tamamlanmış olan PHP 8.1, 8.0 ve daha eski 7.x ile 5.x sürümleri için resmi bir yama sunulmayacak. Güvenlik şirketi Mallory'nin tarama verilerine göre, internete açık ve sürüm bilgisi veren yaklaşık 1,5 milyon sunucunun yüzde 59'u (yaklaşık 884 bin sunucu) artık resmi güvenlik desteği almayan 8.1 veya daha eski sürümleri çalıştırmaya devam ediyor.
Güvenlik uzmanları, sistem yöneticilerinin acil yama öncesinde altyapılarında çalışan PHP sürümlerini ve bu dili kullanan içerik yönetim sistemlerini envantere kaydetmesini öneriyor. Resmi bir geçici çözüm yayımlanmadığı için yama öncesi hazırlık; veritabanı ve site dosyalarının yedeklenmesini, bakım aralığının planlanmasını ve kritik olmayan sistemlerin güncellenene kadar internet erişiminden yalıtılmasını gerektiriyor. Destek süresi dolmuş sürümleri çalıştıran sunucu sahiplerinin ise sistemlerini doğrudan desteklenen bir PHP dalına yükseltmesi gerekiyor.
Neden önemli?İnternetteki web sitelerinin büyük bölümünü çalıştıran PHP'deki açıklar, destek süresi biten 8.1 ve önceki sürümleri kullanan yüz binlerce sunucuyu resmi yama desteğinden mahrum bırakıyor.
Cevabı beklenen sorular
- PHP geliştiricileri yamalarla birlikte açıkların tam olarak hangi çekirdek bileşenden kaynaklandığını ve özel bir sunucu yapılandırması gerektirip gerektirmediğini nasıl açıklayacak?
- Resmi yama desteği bulunmayan PHP 8.1 ve daha eski sürümleri kullanan yüz binlerce sunucu için üçüncü taraf Linux dağıtımları geriye dönük güvenlik yaması sağlayacak mı?
Kaynaklar ve belgeler
Bu haberde kullanılan belgelere aşağıdaki bağlantılardan ulaşabilirsiniz.
