PHP altyapısında kritik güvenlik alarmı: Sunucu yöneticilerine acil güncelleme çağrısı
PHP’de ortaya çıkarılan iki kritik güvenlik açığı, web sitelerinin barındırıldığı sunucularda yetkisiz kod çalıştırılması riskini gündeme taşıdı. Güvenlik yamaları yayımlanırken, işletmelerin PHP sürümlerini ve kullandıkları barındırma altyapısını gecikmeden kontrol etmesi gerekiyor.
PHP geliştirme ekibi, CVE-2026-109618 ve CVE-2026-109619 olarak kaydedilen iki güvenlik açığı için 21 Ekim 2026’da güncelleme yayımladı. CVSS v4.0 değerlendirmesinde 10 üzerinden 9,2 puan alan açıklar, belirli koşullarda saldırganların kullanıcı hesabına ihtiyaç duymadan sunucuda kod çalıştırmasına olanak tanıyabiliyor.
Güvenlik sorunu PHP’nin bellek yönetiminden kaynaklanıyor
İlk açık, bellek yetersizliği sırasında yarım kalan istek verilerinin temizleme aşamasında geçerli veri gibi işlenmesiyle ilişkili. İkinci açıkta ise serbest bırakılan belleğe ait eski durum bilgilerinin sonraki isteklerde kullanılabilmesi söz konusu. Bu hatalar, PHP süreçlerinde bellek bozulmasına ve uzaktan kod çalıştırılmasına zemin hazırlayabiliyor.
PHP ekibi, riski özellikle Apache üzerinde mod_php kullanılan kurulumlarda yüksek değerlendiriyor. PHP-FPM, php-cgi, FrankenPHP ve LiteSpeed üzerinden web isteği işleyen kurulumların da güncelleme kapsamında incelenmesi gerekiyor.
Hangi PHP sürümlerine geçilmeli?
Açıkları gideren sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 olarak açıklandı. PHP 8.1 ve öncesinde resmi düzenli güncelleme desteği bulunmuyor. Bu sistemlerde desteklenen sürümlere geçiş veya sağlayıcının sunduğu geriye uyarlanmış güvenlik yamalarının doğrulanması gerekiyor.
Araştırmalarda yapay zekâ desteği kullanıldı
Wiz Research, incelemelerinde Wiz Atlas ile birlikte Gemini 4 Argon ve GPT-5.6 Sol modellerinden yararlandığını bildirdi. OpenAI da “Patch the Planet” girişimi kapsamında PHP güvenlik çalışmalarına uzmanlık ve model erişimi sağlandığını açıkladı. Bu süreç, yapay zekâ araçlarının kaynak kod incelemesi ve güvenlik araştırmalarındaki rolünü yeniden gündeme getirdi.
PHP Foundation’ın değerlendirmesinde ise 2024’teki güvenlik denetiminde ortaya çıkan bulguların ele alınmasında gecikmeler yaşandığı belirtildi. Vakıf, karar alma süreçleri ve uzman kaynaklarının güçlendirilmesi gerektiğine dikkat çekti.
Web sitesi sahipleri nasıl hareket etmeli?
İşletmelerin öncelikle hosting veya sunucu yönetim sağlayıcılarından kullanılan PHP paketinin bu iki CVE için yamalı olduğuna ilişkin doğrulama istemesi gerekiyor. Sürüm geçişleri sırasında uygulama uyumluluğu, yedekleme, hizmetlerin yeniden başlatılması ve güncelleme sonrası işlev kontrolleri birlikte planlanmalı.
Anatolia System’den analiz ve teknik destek
Web sitesi sahipleri, Anatolia System Ücretsiz SEO ve GEO Analiz Aracı üzerinden sitelerinin teknik SEO, HTML yapısı, HTTPS ve arama motoru görünürlüğüne ilişkin temel kontrolleri gerçekleştirebilir.
SEO analiz sonucu, sunucunun bu PHP açıklarına karşı güvenli olduğunu tek başına doğrulamaz. PHP sürümünün, yama durumunun ve sunucu yapılandırmasının ayrıca incelenmesi gerekir.
PHP güvenlik kontrolü, sunucu güncellemesi ve web yazılımının yeni sürümlerle uyumlu hâle getirilmesi konusunda destek almak isteyen işletmeler, Anatolia System ile iletişime geçebilir.
