PHP çekirdeğinde bulunan iki kritik açık, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya izin veriyor. Siber Güvenlik Başkanlığı 22 Ekim'de ulusal ölçekte uyarı yayımladı.
PHP geliştirme ekibi, 21 Ekim 2026'da acil güvenlik sürümleri yayımlayarak dilin çekirdeğindeki iki kritik açığı kapattı. Araştırmacıların PHP2Shell adını verdiği CVE-2026-109618 ve CVE-2026-109619 açıkları, CERT-EU tarafından 9.2 CVSS puanıyla derecelendirildi ve kimlik doğrulaması olmadan uzaktan kod çalıştırmaya imkân tanıyor.
Olay nedir?
Her iki açık da PHP'nin istek yaşam döngüsündeki bellek yönetiminden kaynaklanıyor. CERT-EU'nun teknik açıklamasına göre CVE-2026-109618, bellek limiti aşıldığında isteğin yarıda kesilmesi sırasında henüz ilklendirilmemiş belleğin serbest bırakılmasına yol açıyor; bu bellek saldırganın kontrolündeki veriyi barındırabiliyor. CVE-2026-109619 ise ölümcül bir hatadan sonra isteğe ait iç durumun belleği serbest bırakıldığı hâlde ayakta kalmasına ve aynı iş sürecindeki bir sonraki istekte kullanılmasına izin veriyor.
Kritik nokta şu: saldırı, uygulama kodunuz hiç çalışmadan önce tetiklenebiliyor. Yani sitenizin ne kadar iyi yazıldığı, hangi CMS veya çatıyı kullandığınız fark etmiyor. CERT-EU, web isteği karşılayan tüm PHP kurulumlarının etkilendiğini belirtiyor: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed. PHP ekibi en yüksek riskli yapılandırmanın mod_php olduğunu bildiriyor.
Neden önemli?
Güvenli sürümler 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 olarak yayımlandı. PHP 8.1 ve öncesi sürümler proje tarafından artık desteklenmiyor; bu sürümler için yalnızca asgari kaynak kodu yamaları paylaşıldı. Help Net Security'nin aktardığına göre Amazon'un MadPot bal küpü ağı, açığın kamuya duyurulmasından dört gün önce, 17 Ekim 2026'da bir sömürü denemesi kaydetti. Yani açık duyurulmadan önce de en az bir tehdit aktörünün elindeydi.
Türkiye ve KOBİ tarafındaki karşılığı
Siber Güvenlik Başkanlığı 22 Ekim 2026'da ulusal ölçekte bir uyarı yayımladı. Başkanlık, Türkiye genelindeki sistemlerde güvenlik taramaları başlattığını, kamu kurumlarına acil bildirimler gönderdiğini ve kamu kurumları ile kritik altyapı işletmecilerinin yanı sıra özel şirketlerin de güncellemeleri ivedilikle uygulamasının önem taşıdığını duyurdu.
KOBİ tarafında asıl risk, PHP'nin çoğu zaman "görünmez" olmasıdır. Kurumsal web siteniz, müşteri portalınız, eski bir muhasebe arayüzünüz, kamera kayıt sisteminizin web paneli veya NAS cihazınızın yönetim ekranı PHP üzerinde çalışıyor olabilir ve bunların hiçbiri sizin güncelleme takviminizde yer almıyordur. Üstelik birçok küçük işletme, desteği bitmiş PHP 7.4 veya 8.0 sürümlerini hâlâ paylaşımlı hosting üzerinde çalıştırıyor.
Kamer Bilişim olarak ne öneriyoruz?
- Önce envanter çıkarın, sonra yamayı planlayın. İnternete açık her sistemde hangi PHP sürümünün çalıştığını listeleyin. Yalnızca kurumsal siteyi değil; test ortamlarını, eski kampanya sitelerini, cihaz yönetim panellerini ve PHP gömülü üçüncü taraf ürünleri de kapsama alın.
- Yamayı dağıtımınızın paket deposundan alın. Linux dağıtımları ve uzun dönem destek sağlayıcıları yamaları duyurudan önce aldı; sunucularınızı kendi dağıtımınızın güncel paketleriyle yükseltin. Hosting üzerindeki siteler için sağlayıcınızdan PHP sürümünü yazılı olarak teyit edin.
- Hemen yamalayamadığınız sistemi internete açık bırakmayın. CERT-EU, yama uygulanana ve doğrulanana kadar internete açık uygulamaların genel ağdan yalıtılmasını öneriyor. Yönetim arayüzlerine erişimi güvenlik duvarı kurallarıyla yalnızca bilinen IP adreslerine açın ve yurt dışından erişime ihtiyaç duymayan sistemlerde uluslararası trafiği kapatın.
İstanbul Anadolu Yakası'ndaki ofisinizde ya da uzaktan destek kapsamında sunucu ve web altyapınızın PHP envanterini çıkarmamızı, yama durumunu kontrol etmemizi veya güvenlik duvarı kurallarınızı gözden geçirmemizi isterseniz iletişim sayfamızdan bize ulaşabilirsiniz.
Kaynak: CERT-EU Güvenlik Danışma Belgesi 2026-018, Help Net Security, Siber Güvenlik Başkanlığı duyurusu (Ekonomist, Sabah).
Kaynak: CERT-EU