PHP için yayınlanan acil yama, kritik iki açığı kapatıyor

PHP ekibi, sunucularda uzaktan kod çalıştırılmasına yol açabilen iki kritik güvenlik açığını kapatmak için planlanan güncellemeleri bir gün öne çekti. Güvenlik değerlendirmelerinde on üzerinden 9,2 puan alan açıklar için 21 Ekim 2026 tarihinde dört farklı sürüm yayınlandı.

• PHP2Shell olarak anılan iki kritik açığın güvenlik puanı 10 üzerinden 9,2 olarak belirlendi.
• PHP ekibi, normalde 22 Ekim'de yapacağı duyuruyu öne çekerek 21 Ekim 2026'da yamaları paylaştı.
• En yüksek risk, PHP'yi mod_php üzerinden çalıştıran Apache sunucularını hedef alıyor.

Yazılım geliştirme dünyasının temel yapı taşlarından biri olan PHP altyapısında, saldırganların oturum açmadan sunucu üzerinde kod çalıştırmasını sağlayan kritik düzeyde zafiyetler tespit edildi. PHP2Shell ismiyle gündeme gelen bu açıklar, gün boyunca web sitelerini ve web tabanlı uygulamaları tehdit eden unsurlar arasında yer aldı. Güvenlik uzmanlarının yaptığı değerlendirmelere göre her iki zafiyet de en yüksek risk seviyesine işaret eden 9,2 puana sahip.

CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kayıtlara geçen bu güvenlik sorunları, PHP'nin bellek yönetimi ile hata işleme aşamalarındaki mekanizmalardan kaynaklanıyor. İlk zafiyette sistem, bellek sınırına varan bir işlemin ardından eksik verileri doğrulanmış gibi kabul edebiliyor. İkinci zafiyette ise daha önceki bir işlemin geride bıraktığı veriler, ilerleyen süreçlerde bellek hatalarının doğmasına zemin hazırlayarak kötü amaçlı kodların çalıştırılmasına yol açabiliyor.

Zafiyetlerin internet ortamında hızla yayılması üzerine PHP geliştirici ekibi normal takvimini değiştirme kararı aldı. Bir gün sonra yapılması planlanan acil yama dağıtımı 21 Ekim 2026 tarihinde devreye alındı ve dört ayrı PHP sürümü için resmi güncellemeler sunuldu. Yapılan incelemeler, özellikle Apache sunucularında mod_php kullanan yapılandırmaların en büyük tehlike altında olduğunu, ancak PHP-FPM, php-cgi, FrankenPHP ve LiteSpeed altyapılarının da risk bölgesinde bulunduğunu gösteriyor.

Yazılım geliştiriciler ve sistem yöneticileri için acil güncelleme çağrısı yapan yetkililer, destek kapsamından çıkmış olan PHP 8.1 ve önceki eski seriler için de sınırlı kod yamaları paylaştı. Ancak bu adımın eski sürümlere tam destek sağlamayacağı, yalnızca belirli dosyalara yama uygulanabileceği vurgulandı. NHS England gibi kuruluşlar ise hemen güncelleme yapamayan sistem yöneticilerinin risk değerlendirmesi yapmasını ve yamalar tamamlanana kadar sunucuların dış ağ erişiminin kısıtlanmasını tavsiye ediyor.

Kaynak: CHIP Online Haberin tam sayfası →

PHP geliştiricileri, sunucularda uzaktan kod yürütülmesine zemin hazırlayan PHP2Shell güvenlik açıklarını kapatmak için acil güncellemeler sundu. İnternet genelinde yaygın kullanılan yazılımdaki açıkların ciddiyet seviyesi 10 üzerinden 9,2 olarak belirlendi. Web yöneticilerinin sunucu taraflı paketleri gecikmeden güncellemesi gerekiyor.

• Bellek yönetimi hatasından kaynaklanan PHP2Shell açıklarının tehlike skoru 9,2 olarak açıklandı.
• Web sitelerinin yüzde 69,3'ünde kullanılan PHP altyapısında PHP 5.4'e kadar risk var.

İnternet sitelerinin büyük bölümüne güç veren PHP programlama dilinde iki adet kritik güvenlik zafiyeti saptandı. Güvenlik uzmanları, saldırganların sisteme giriş yapmadan WordPress, Drupal ve Joomla gibi platformlarda uzaktan yetkisiz kod işletebildiğini kanıtladı. Sitelerin uygulama kodunda ek bir hata bulunmasa dahi çekirdek yazılımdaki bu sorun doğrudan sunucuyu tehlikeye atıyor.

W3Techs tarafından paylaşılan 21 Ekim tarihli verilere göre sunucu dili belirlenebilen internet sitelerinin yüzde 69,3'ü PHP kullanıyor. Yaşanan krizin temelinde ise PHP'nin bellek yönetimi mimarisindeki aksaklıklar yer alıyor. Yetersiz bellek hataları sırasında yarım kalan işlemler, sistemin geçersiz kalmış verileri çağırmasına yol açıyor. Kötü niyetli aktörler bu durumu lehlerine çevirerek sunucu şifrelerini, oturum kayıtlarını ve API anahtarlarını ele geçirebiliyor.

PHP Vakfı cephesinden yapılan bilgilendirmede, bellek sorununa dair ilk emarelerin aslında 2024 yılında kayıtlara girdiği itiraf edildi. O dönemde pratik bir istismar yolu bulunamaması ve kaynak yetersizliği nedeniyle yamanın geciktiği, bu tablonun kurumsal bir aksaklık yarattığı kaydedildi. Güvenlik firması Wiz ise saldırı yöntemlerinin doğrulanmasında ve açıkların test edilmesinde yapay zeka modellerinin etkin biçimde rol oynadığını bildirdi.

Tehdidin yayılma riski üzerine planlanan takvim öne çekilerek 21 Ekim'de güvenlik yamaları servis edildi. Ancak uzmanlar yalnızca WordPress eklentilerini veya harici güvenlik duvarlarını güncellemenin tam koruma sağlamayacağını, sunucudaki ana PHP yazılımının acilen yükseltilmesi gerektiğini hatırlatıyor.

Kaynak: Tamindir Haberin tam sayfası →

Popüler programlama dili PHP, sunucu denetimini tehlikeye atan iki kritik açığı kapatmak için resmi yamalar paylaştı. Geliştirici ekip, 9.2 önem derecesine sahip bu açıkların uzaktan zararlı kod çalıştırabileceğini belirterek kullanıcıları acil güncellemeye çağırdı.

• PHP geliştirme ekibi, 10 üzerinden 9.2 dereceli iki kritik açık için güncelleme duyurdu.
• Güvenlik açıkları, saldırganların kimlik doğrulamadan uzaktan zararlı kod çalıştırmasına yol açıyor.

İnternet dünyasının temel yapı taşlarından biri olan PHP programlama dilinde, sunucu sistemlerinin ele geçirilmesine zemin hazırlayan iki kritik açık tespit edildi. Geliştirici topluluk tarafından yapılan açıklamada, söz konusu zafiyetlerin önem derecesi 10 üzerinden 9.2 olarak derecelendirildi. Apache web sunucularında sıklıkla tercih edilen mod_php yapılandırmasında risk katsayısının çok daha yüksek seviyelerde seyrettiği özellikle vurgulandı.

Keşfedilen açıkların kötü niyetli kişilere kimlik doğrulaması gerektirmeden uzaktan kod çalıştırma olanağı tanıdığı bildirildi. PHP 8.1 ve daha eski sürümlerin artık resmi destekten mahrum olduğu hatırlatılarak, bu sürümleri kullananların güvenli sürümlere geçiş yapması gerektiği ifade edildi.

Yaşanan sürecin arka planına dair yapılan değerlendirmelerde, ilk bulguların 2024 yılında elde edildiği ancak o dönemde sorunun ciddiyetinin tam olarak anlaşılamadığı açıklandı. Teknik anlaşmazlıklar ve uzman yetersizliği nedeniyle çözüm çalışmalarının defalarca sekteye uğradığı kabul edildi. Ağustostan eylüle kadar süren incelemelerde, zafiyetin kötüye kullanım senaryolarının netleşmesiyle birlikte güncelleme takvimi öne çekildi.

Wiz Research siber güvenlik firması, tarama süreçlerinde yapay zeka modellerinin aktif rol oynadığını duyurdu. Kaynak kodundaki karmaşık yapıları çözmek için Gemini 4 Argon ile birlikte GPT-5.6 Sol yapay zeka modelleri kullanıldı. Özellikle Gemini 4 Argon modelinin zafiyetlerin tespit edilmesinde ve güvenlik yamalarının doğrulanmasında kritik bir başarı yakaladığı aktarıldı.

Kaynak: AA Güncel Haberin tam sayfası →

Yapay zeka araçlarıyla tespit edilen on yıllık PHP zafiyeti, siber saldırganların kimlik doğrulamasına gerek duyulmadan uzaktan kod çalıştırmasına zemin hazırlıyor. WordPress ve WooCommerce gibi dev platformları doğrudan etkileyen bu durum, küresel çapta geniş çaplı önlemler alınmasını zorunlu kılıyor.

• Yapay zeka yardımıyla on yılı aşkın süredir gizlenen PHP çekirdek zafiyetleri ortaya çıkarıldı.
• Saldırganlar herhangi bir şifre veya kimlik doğrulaması yapmadan doğrudan sunuculara sızabiliyor.
• WordPress ve WooCommerce gibi dünya genelindeki web sitelerinin büyük kısmı risk altında bulunuyor.

İnternet altyapısının temelini oluşturan açık kaynaklı programlama dili PHP, son yılların en büyük siber güvenlik krizlerinden biriyle karşı karşıya kaldı. Gelişmiş yapay zeka ajanları ve büyük dil modelleri kullanılarak yapılan derinlemesine taramalar, C diliyle yazılmış çekirdek kod tabanında on yıldan uzun süredir fark edilmeyen kusurları gün yüzüne çıkardı.

1994 yılından bu yana Rasmus Lerdorf öncülüğünde geliştirilen ve internet sitesi trafiğinin yaklaşık yüzde 70'ine güç veren bu mimari, harici eklentiler yerine doğrudan çekirdekte barındırdığı bu zafiyetle sarsıldı. İçerik yönetim sistemlerinin belkemiği olan WordPress, tüm web sitelerinin yüzde 40'ından fazlasında bu altyapıyı kullanması nedeniyle krizin odağında yer alıyor.

Siber güvenlik araştırmacılarının tespit ettiği bu kusurlar, teknik literatürde Kimlik Doğrulamasız Uzaktan Kod Çalıştırma olarak adlandırılan son derece tehlikeli bir kategoride yer alıyor. Geleneksel yöntemlerin aksine saldırganların sistem erişimi için herhangi bir yönetici yetkisine, oturum çerezine veya şifreye ihtiyacı bulunmuyor ve dışarıdan gönderilen tek bir paket zararlı kodun çalışmasını tetikleyebiliyor.

Geçmişte yaşanan PHP-FPM veya CGI karakter kodlama açıklarından farklı olarak, bu son durum doğrudan çekirdek mantığındaki ince hatalardan kaynaklanıyor. Wikipedia ve Slack gibi devasa platformların arka plan servislerinde de izleri bulunan bu dilin güvenliği, milyonlarca işletme ve e-ticaret sitesi için acil yama süreçlerinin başlatılmasını gerektiriyor.

Kaynak: ShiftDelete Haberin tam sayfası →