PHP'de iki kritik uzaktan kod çalıştırma açığı kapatıldı: Hemen güncelleyin

PHP projesi, 21 Ekim'de yayımladığı güvenlik bülteninde, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya (RCE) imkân verebilen iki kritik açığı düzelten yeni sürümleri duyurdu. Açıklamaya göre PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri bu açıkları kapatıyor. PHP ekibi tüm kullanıcılara derhal güncelleme yapmalarını tavsiye ediyor.

Kimler risk altında?

PHP'nin bültenine göre web isteklerine yanıt veren tüm PHP kurulumları risk altında. Buna PHP-FPM, mod_php ile Apache, php-cgi, FrankenPHP ve LiteSpeed dahil. Ekip en yüksek riskin mod_php'de olduğunu belirtiyor. Bu yapılandırmada kimlik doğrulamasız tek bir isteğin, uygulama kodu çalışmadan önce saldırıyı tetikleyebildiği gösterilmiş durumda. Paylaşımlı hosting kullanan Türkiye'deki pek çok site de PHP ile çalıştığından konu geniş bir kitleyi ilgilendiriyor.

• CVE-2026-109618: Bellek yetersizliği (OOM) sırasında istek verileri yarım kalmış durumdayken temizleme işleminin bu geçersiz veriyi geçerli sayması.
• CVE-2026-109619: Belleği serbest bırakılmış bir duruma ait bilginin, aynı işçi sürecindeki sonraki bir istekte kullanılabilmesi.

Nasıl güncellenmeli?

PHP ekibi, kaynak kodların ve Windows sürümlerinin resmi indirme sayfasında olduğunu belirtiyor. Linux dağıtımlarına ve uzun süreli destek (LTS) sağlayıcılarına yamaların önceden iletildiği de vurgulanıyor. Bu nedenle sunucu yöneticilerinin dağıtımlarının paket güncellemelerini kontrol etmesi gerekiyor. PHP 8.1 ve öncesi artık resmi güncelleme almıyor. Ancak açıkların ciddiyeti nedeniyle ekip PHP 7.4, 8.0 ve 8.1 için kaynak koddan derleyenlere yönelik asgari yamalar da yayımladı.

Hemen güncelleme yapamayanlar için geçici önlemler de paylaşıldı. Bunlar arasında oturum yükleme ilerlemesi özelliğinin kapatılması, post_max_size değerinin düşürülmesi ve web sunucusu ya da proxy düzeyinde istek sınırları konulması bulunuyor. PHP ekibi bu adımların bazı saldırı yollarını daralttığını ancak kurulumu tam olarak güvenli hale getirmediğini özellikle belirtiyor.

Açıkları yapay zeka buldu

OpenAI aynı gün yaptığı açıklamada, son iki ayda PHP açıkları için geliştiricilerden, araştırmacılardan ve güvenlik sağlayıcılarından oluşan bir koalisyona öncülük ettiğini duyurdu. Şirkete göre güvenlik firması Calif, açıklardan birini Patch the Planet girişimi kapsamında GPT-5.6 Sol modeliyle tespit etti. Wiz de her iki açığı bağımsız olarak bulup bildirdi. OpenAI, bu sorunu yakın dönemin en etkili güvenlik meselelerinden biri olarak nitelendirdi.

OpenAI'a göre düzeltmeler PHP geliştiricilerinin liderliğinde hazırlandı. Wiz ve Cloudflare gibi şirketler ise açıklama öncesinde koruma önlemlerinin hazırlanmasına katkı verdi. Şirket, işletmecilerin savunmasız PHP sürümlerini tespit edebilmesi için Codex becerisi olarak bir PHP sürüm denetleyicisi paylaştı. OpenAI ayrıca güvenlik kaynakları sınırlı olan ve temel hizmetleri koruyan kurumlar için Daybreak erişimine 1 milyar dolarlık sübvansiyon taahhüt ettiğini açıkladı.

WordPress de resmi blogunda site sahiplerini PHP'yi güncellemeye çağırdı. Açıkların WordPress'e özgü olmadığı, bu nedenle bir WordPress güncellemesi planlanmadığı belirtildi. Kullanılan PHP sürümü WordPress panelinde Araçlar menüsündeki Site Sağlığı bölümünden görülebiliyor.

Kaynak: PHP, OpenAI, WordPress