PHP geliştirme ekibi, web isteği işleyen neredeyse her kurulumu etkileyen ve CVSS v4.0 ölçeğinde 9.2 puan alan iki uzaktan kod çalıştırma açığı için yama yayımladı. Siber Güvenlik Başkanlığı konuyla ilgili ulusal uyarı yayımladı.
PHP geliştirme ekibi 21 Ekim 2026'da, web isteği işleyen neredeyse her PHP kurulumunu etkileyen iki kritik güvenlik açığı için yama yayımladı. Araştırmacıların php2shell adını verdiği CVE-2026-109618 ve CVE-2026-109619 açıklarının ikisi de CVSS v4.0 ölçeğinde 9.2 puanla derecelendirildi (SOCRadar). Her iki açık da kimlik doğrulaması gerektirmeyen tek bir isteğle, uygulama kodu çalışmaya başlamadan önce sunucuda uzaktan kod çalıştırmaya imkân tanıyor.
Açık tam olarak neyi etkiliyor?
Sorun belirli bir uygulamada değil, PHP'nin istek yaşam döngüsünde. Bellek yetersizliği sırasında yarım kalan istek verilerinin geçerli sayılması (CVE-2026-109618) ve bir isteğe ait iç durumun, belleği serbest bırakıldıktan sonra aynı işçi süreçte yaşamaya devam etmesi (CVE-2026-109619) kök nedenler. Bu yüzden PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed kurulumlarının tamamı kapsamda; Help Net Security'nin aktardığına göre en yüksek risk mod_php yapılandırmalarında.
Güvenli sürümler 21 Ekim'de çıktı: PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. PHP 7.4, 8.0 ve 8.1 için yalnızca kaynak kodu düzeltmeleri yayımlandı; 7.3 ve öncesi için PHP tarafından bir düzeltme yok. Bazı Linux dağıtımları ve uzun dönem destek sağlayıcıları kendi yamalarını dağıttı.
Neden ertelenebilir bir iş değil
Üç nokta bu güncellemeyi sıradan bir yama turundan ayırıyor. Birincisi, sömürü denemeleri yamadan önce başladı: Amazon'un tehdit istihbaratı ekibi 17 Ekim'de bir tuzak sisteme yönelen ilk denemeyi kaydetti. İkincisi, ABD siber güvenlik ajansı CISA iki açığı da 26 Ekim'de aktif sömürülen açıklar kataloğuna (KEV) ekledi ve federal kurumlar için son tarihi 29 Ekim olarak belirledi. Üçüncüsü, kurumsal ürün tarafı hâlâ netleşmedi; Palo Alto Networks tüm PAN-OS sürümlerinin etkilendiğini açıkladı.
Öte yandan tabloyu olduğu gibi aktarmak gerekiyor: ilk on günde yaygın bir ihlal dalgası raporlanmadı. SOCRadar taradığı sitelerde sömürü ön koşullarının karşılanmadığını bildirdi, Unit 42 ise bir Avrupa kamu kurumundaki olayı php2shell'e bağlayan raporunu geri çekti. Gözlenen trafiğin büyük bölümü tarama ve parmak izi alma düzeyinde. Yani panik değil, planlı ve hızlı bir yama süreci gerekiyor.
Türkiye ve KOBİ tarafındaki karşılığı
Siber Güvenlik Başkanlığı 21 Ekim 2026'da TR-26-1372 numaralı ulusal uyarıyı yayımladı; kamu kurumları, kritik altyapı işletmecileri ve özel şirketlerin sistemlerini gözden geçirmesini istedi ve ulusal ölçekte tarama başlattığını duyurdu.
KOBİ tarafında asıl risk, kimsenin sahiplenmediği PHP kurulumlarında: paylaşımlı hostingte duran eski kurumsal site, ofis içinde yıllardır çalışan bir stok veya teklif uygulaması, dışarıya açık unutulmuş bir yönetim paneli, web arayüzü PHP ile çalışan bir cihaz. Bunlar genelde bakım planının dışında kalır ve sürüm bilgisi kimsede yoktur. Shodan verilerine göre internete açık yaklaşık 884.000 sunucu hâlâ PHP 8.1 veya daha eski bir sürüm çalıştırıyor.
Kamer Bilişim olarak ne öneriyoruz?
- Önce envanter, sonra yama. Hangi sunucuda, hangi hosting hesabında ve hangi cihazda PHP çalıştığını yazılı hâle getirin. Destek dışı bir sürüm görürseniz (7.x, 8.0 veya 8.1) önceliği ona verin; orada yama değil sürüm yükseltmesi gerekir.
- Yönetim arayüzlerini dışarıya kapatın. Siber Güvenlik Başkanlığı'nın da önerdiği gibi, güvenlik duvarı ve erişim listeleriyle yönetim panellerini yalnızca bilinen IP adreslerine açın; yurt dışından erişime ihtiyaç duymayan sistemlerde bu trafiği kesin.
- Yedeğin geri dönüş testini yapın. Uzaktan kod çalıştırma açıkları pratikte veri sızıntısı ve fidye yazılımıyla sonuçlanıyor. Yedeğin alınıyor olması tek başına yeterli değil; en az bir sunucu için gerçek bir geri yükleme denemesi yapın ve kaç saat sürdüğünü ölçün.
Sunucu envanteriniz, hosting ortamınız veya güvenlik duvarı kurallarınız için destek isterseniz iletişim sayfamızdan bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz.
Kaynak: SOCRadar, Help Net Security, T.C. Siber Güvenlik Başkanlığı (TR-26-1372)
Kaynak: SOCRadar