PHP 8.5.12 Patch Bypass: Ne Kanıtlandı, Ne Kanıtlanmadı

CVSS ölçeğinde 10 üzerinden 9.2 puan alan iki kritik açık nedeniyle PHP güvenliği için alarm verildi. Sızıntıların ardından güvenlik ekibi yamayı 21 Ekim 2026 tarihinde yayınlayacağını duyurdu.

• CVSS 4.0 ölçeğinde 9.2 puan alan iki RCE açığı PHP sistemlerini tehdit ediyor.
• Güvenlik yamasının yayın tarihi sızıntılar sebebiyle 21 Ekim 2026 saat 17:00'ye çekildi.
• Sansec ve Beazley Security uyarılarına göre PHP 5'ten sonraki tüm sürümler etkilenebilir.

PHP güvenlik ekibi, sunucularda uzaktan kod çalıştırmaya izin veren ve oldukça yüksek risk barındıran iki kritik açığı kapatmak üzere harekete geçti. CVSS v4.0 skalasında 10 üzerinden 9.2 puan alan CVE-2026-109618 ve CVE-2026-109619 kodlu zafiyetler, planlanan tarihten önce internete sızdırıldı. WordPress, Drupal ve Magento gibi milyonlarca web sitesine altyapı sağlayan dilin bu derece büyük açıklarla karşılaşması sektörde endişe yarattı.

Daha önce 22 Ekim Perşembe günü yapılacağı söylenen duyuru, gizlilik ambargosunun delinmesi ve güvenlik şirketi watchTowr ile CERT-EU gibi kurumların uyarıları sonrasında bir gün öne alındı. PHP güvenlik ekibi tarafından php.announce listesinde paylaşılan bilgilere göre, güncellemenin 21 Ekim 2026 Çarşamba günü Türkiye saatiyle 17:00 civarında paylaşılması planlanıyor. İstismar girişimlerinin artması durumunda bu saatin daha da öne çekilebileceği ifade ediliyor.

Güvenlik uzmanlarının yaptığı ilk analizler, sorunun tarayıcıların dosya gönderirken kullandığı çoklu parçalı yüklemeler üzerinden yayıldığını gösteriyor. Özellikle session eklentisinin upload_progress özelliğinin bu süreçte tetikleyici rol oynadığı düşünülüyor. Pentestit yazarları ilgili açığın PHP 8.3.6 sürümünde çalıştığını doğrulamış durumda, ancak resmi listede henüz hangi bileşenlerin etkilendiği net olarak paylaşılmadı.

Milyonlarca web sitesini koruyan Hollandalı şirket Sansec, yamalar yayınlandıktan hemen sonra kitlesel saldırı dalgalarının başlayabileceği konusunda uyarıda bulundu. En büyük sorun ise PHP 8.1 ve daha eski sürümlerin artık resmi destek almaması nedeniyle bu sistemler için doğrudan bir yama sunulmayacak olması. Bu durumdaki eski altyapıları kullanan yöneticilerin ya desteklenen sürümlere geçmesi ya da manuel düzenlemeler yapması gerekecek.

Kaynak: Pasquale Pillitteri Haberin tam sayfası →

Cloudflare, son günlerde ortaya çıkan iki kritik PHP açığına yönelik saldırı girişimlerinin kısa sürede milyonları bulduğunu açıkladı. Şirket, tüm kullanıcıları koruma altına alırken yazılımın acilen güncellenmesi gerektiğini vurguluyor.

• CVE-2026-109618 ve CVE-2026-109619 kodlu açıklar bellek yönetiminden kaynaklanıyor.
• Duyurudan sonraki iki saat içinde saldırı girişimi sayısı yüz binleri aştı.
• Web sitelerinin yüzde 70'inden fazlası PHP altyapısını kullanıyor.

Yazılım dünyasının en yaygın dillerinden biri olan PHP'yi hedef alan iki kritik güvenlik açığı, siber güvenlik şirketlerinin ve altyapı sağlayıcılarının alarm vermesine yol açtı. Kalif.io, Wiz, OpenAI ve Quarkslab tarafından keşfedilen açıklar, php2shell olarak adlandırılan özel HTTP istekleriyle tetikleniyor. Bellek yönetimindeki hatalar nedeniyle ortaya çıkan bu açıklar, saldırganların sistemlerde uzaktan kod çalıştırmasına veya hassas verilere erişmesine zemin hazırlayabiliyor.

PHP altyapısının web sitelerinin yaklaşık yüzde 70'inde aktif olarak kullanılması ve WordPress ile Magento gibi devasa ekosistemlerin temelini oluşturması riskin boyutunu büyütüyor. Sadece site dosyalarının ya da eklentilerin güncellenmesi bu sorunu çözmeye yetmiyor çünkü açık doğrudan çalışma ortamından kaynaklanıyor. Bu durum, sunucu yöneticilerini ve barındırma sağlayıcılarını kapsamlı bir yama sürecine girmeye zorluyor.

Tehdidin büyümesi üzerine Cloudflare, PHP Vakfı ve diğer güvenlik kuruluşlarıyla koordineli bir şekilde hareket ederek özel güvenlik duvarı kurallarını resmi duyurudan hemen önce devreye soktu. Şirket CEO'su Matthew Prince, duyurudan önceki on saatte binlerce olan saldırı sayısının, açıklamanın ardından gelen ilk 45 dakikada on binlere ve kısa süre içinde milyonlara ulaştığını belirtti. Yapılan müdahalelerle birlikte sistem, şüpheli istekleri kullanıcıya ulaşmadan durdurmayı başardı.

Ücretsiz ve ücretli planlardaki Web Uygulaması Güvenlik Duvarı kullanıcıları otomatik olarak koruma kapsamına dahil edildi. Geliştirilen yeni Full Transaction Detection özelliği ise hem gelen isteği hem de sunucu yanıtını aynı anda inceleyerek hatalı engellemeleri azaltıyor ve isabet oranını artırıyor. Ancak Cloudflare yetkilileri, alınan bu önlemlerin geçici birer kalkan olduğunu ve PHP geliştiricilerinin yayımladığı resmi yamaların derhal kurulması gerektiğini ısrarla hatırlatıyor.

Kaynak: DonanımHaber Haberin tam sayfası →

21 Ekim'de ortaya çıkan PHP2Shell güvenlik açığı, dünya çapında devlet ve hastane sitelerini kapatmaya yol açtı. CVE-2026-109618 ve 109619 kodlarıyla tanımlanan bu açık, uzaktan kod çalıştırma yetkisi vererek kritik risk oluşturdu. Yapay zeka modelleri bu hatayı tespit etti.

• 21 Ekim'de 21 ülkede devlet ve hastane siteleri kapandı
• PHP2Shell, CVE-2026-109618 ve 109619 ile uzaktan kod çalıştırma yetkisi verir
• Yapay zeka modelleri (OpenAI, Wiz, Calif) açıkları tespit etti

21 Ekim 2026’da internetin yaklaşık %70’ini yöneten PHP, beklenmedik bir güvenlik açığıyla karşılaştı. PHP2Shell olarak adlandırılan bu açık, CVE‑2026‑109618 ve CVE‑2026‑109619 numaralarıyla tespit edildi. Açığın temel özelliği, saldırganların sunucularda izinsiz kod çalıştırmasına izin vermesidir, bu da kritik veri hırsızlığı veya sistem kontrolü riskini doğurur.

Bu güvenlik sorunu, yapay zeka destekli tarayıcıların hızlı tespit yeteneği sayesinde ortaya çıktı. OpenAI’ın GPT‑5.6 Sol, Wiz ve Calif modelleri bağımsız olarak bu hataları buldu ve bildirildi. AI’nin bu seviyede hata tespiti, siber güvenlikte otomatikleştirmenin ne kadar ilerlediğinin bir göstergesidir.

Kriz, devlet kurumları, hastaneler ve diğer kamu hizmetleri dahil olmak üzere dünya genelinde yüzlerce web sitesinin aniden kapanmasına yol açtı. FBI, CERT‑EU ve Türkiye’deki Siber Güvenlik Başkanlığı gibi kuruluşlar acil uyarılar yayınladı, saldırı girişimlerinin beklenenden erken başladığını belirtti.

Güncelleme yapılamazsa yedekleme yapılmalı ve geçici olarak WAF (Web Application Firewall) devreye alınmalıdır.

Kullanıcılar ise şüpheli veya bakım modundaki sitelerde kişisel bilgiler paylaşmaktan kaçınmalı ve şüpheli e‑postaları şifrelerini güncelleyerek korumalıdır. Bu tür olayların önlenmesi için, kurumların güvenlik protokollerini sıkılaştırması ve periyodik güvenlik denetimleri yapması şarttır.

Kaynak: DonanımHaber Haberin tam sayfası →

Milyonlarca internet sitesini etkileyen PHP programlama dilinde şifresiz erişim riski barındıran iki kritik güvenlik açığı tespit edildi. Birçok ülkenin alarm verdiği krizde, Türkiye'deki kurumlar sistemlerini güvenli sürümlere yükseltmek için güncellemelere odaklandı.

• PHP altyapısında şifresiz erişim sağlayan iki kritik güvenlik açığı belirlendi.
• FBI, NSA ve Fransa ile Japonya gibi ülkeler sistem kullanıcılarını acil güncellemeler için uyardı.
• e-Devlet Kapısı'nda yapılan incelemelerde hizmetleri olumsuz etkileyen bir soruna rastlanmadı.

Dünya genelinde milyonlarca internet sitesi ve kurumsal uygulamanın altyapısını oluşturan PHP programlama dilinde iki kritik güvenlik zafiyeti saptandı. Belirli koşullar altında kötü niyetli kişilerin şifre veya kullanıcı adı gerektirmeden savunmasız sistemlere müdahale etmesine olanak tanıyan bu açıklar küresel çapta endişe yarattı. Yazılım dünyasında PHP2Shell olarak adlandırılan açıkların uzaktan kod çalıştırabilme riskini barındırması, devlet kurumlarını ve işletmeleri hızlı önlem almaya yöneltti.

Uluslararası alanda yayımlanan güvenlik uyarılarının ardından birçok ülke çeşitli tedbirleri devreye soktu. ABD Federal Soruşturma Bürosu ve Ulusal Güvenlik Ajansı risklere karşı resmi uyarılarda bulunurken Fransa valiliklerin internet siteleri için koruma kararları aldı. Danimarka, Norveç ve Finlandiya kullanıcılarını uyarırken Japonya Başbakanı sitelerin derhal güncellenmesi çağrısı yaptı. Güney Kore siber kriz seviyesini yükselterek kamu ve özel sektörün sistemlerini güvenli hale getirmesini istedi.

Türkiye'de de olası risklerin önüne geçmek amacıyla Cumhurbaşkanlığı Siber Güvenlik Başkanlığı ilgili kurum ve kuruluşlarla iletişime geçti. Kamu kurumları ve özel sektörün PHP altyapılarını kontrol etmesi, üretici tarafından yayımlanan güncellemeleri uygulaması ve güvenli sürümlere geçmesi istendi. e-Devlet Kapısı'nda yürütülen teknik incelemelerde ise vatandaşların hizmetlerini olumsuz etkileyen herhangi bir aksaklığa rastlanmadığı açıklandı.

Bilişim uzmanları, vatandaşların bu süreçte paniğe kapılmadan temel dijital güvenlik önlemlerini uygulaması gerektiğini vurguluyor. Kurumların ise PHP tabanlı uygulamalarında hangi sürümün aktif olduğunu belirleyerek resmi güvenlik yamalarını hızlıca kurması büyük önem taşıyor. Yurt dışı erişim ihtiyacı bulunmayan sistemlerin uluslararası trafiğe kapatılması ve yalnızca yetkili IP adreslerinin kullanılması olası saldırıları önlemede etkili bir adım olarak değerlendiriliyor.

Kaynak: TRT Haber Son Dakika Haberin tam sayfası →