Sarıtaş 21 Ekim 2026 PHP güvenlik alarmı: Ne oldu, sitenizi nasıl korursunuz?
İki kritik uzaktan kod çalıştırma açığı, etkilenen PHP sürümleri ve site sahipleri için güncelleme adımları.
21 Ekim 2026’da PHP ekibi, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya yol açabilen iki kritik açık için güvenlik güncellemelerini yayımladı. Konu yalnızca bir eklentiye veya tek bir siteye bağlı değil; sunucudaki PHP çalışma ortamını ilgilendiriyor. Resmî PHP duyurusu.
İki açık nasıl çalışıyor?
CVE-2026-109618, bellek yetersizliği sırasında istek verilerinin tutarsız durumda kalmasıyla ilgili. İstek kapanırken bu durum kod çalıştırmaya dönüşebilir. Apache mod_php üzerinde gösterilen bir saldırı yolu uygulama kodu başlamadan tetiklenebiliyor. Teknik güvenlik bildirimi.
CVE-2026-109619, önceki isteğe ait belleğe işaret eden durum bilgisinin sunucu çalışanında kalmasıyla ilgili. Sonraki bir istek bu eski veriye eriştiğinde risk doğuyor. Teknik güvenlik bildirimi.
Hangi sürüme geçilmeli?
Düzeltmeleri içeren sürümler: 8.2.35, 8.3.36, 8.4.27 ve 8.5.12. Kullandığınız dalın bu sürümünü veya daha yeni yamalı sürümünü kurun. Dağıtımınız geriye uyarlanmış yama sağlıyorsa sağlayıcıdan doğrulama alın. Güncellemeden sonra tüm PHP çalışanlarını yeniden başlatın ve web sunucusunun gerçekten güncel sürümü kullandığını kontrol edin.
Site sahibi olarak bugün ne yapmalısınız?
- Dosya ve veritabanı yedeklerini alın; geri yükleme yolunu kontrol edin.
- Hosting desteğine aktif PHP sürümünü ve güvenlik yamasını sorun.
- Güncellemeden sonra giriş, form ve yükleme akışlarını test edin.
- Günlükleri ve beklenmedik dosya değişikliklerini inceleyin. İhlal bulgusu varsa erişim bilgilerini yenileyin.
Güvenlik duyurusu, saldırı kanıtı değildir
Bu yazı doğrulanmış açıklara dayanır. Her PHP sitesinin saldırıya uğradığı veya bu sitede veri sızdığı sonucunu çıkarmak için olay kayıtları gerekir. Dosya doğrulaması ve istek sınırları ek savunmadır; PHP yamasının yerini tutmaz.