ÖnemliCVE-2026-109619 & CVE-2026-109618 | PHP Kullananlar Dikkat!

Buhari' Alıntı:

Selamlar!

20 Ekim 2026 tarihinde PHP ekibi tarafından iki kritik güvenlik açığı için acil güncelleme duyurusu yapıldı.

CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen bu açıkların, PHP kullanan sunucularda uzaktan kod çalıştırmaya (Remote Code Execution / RCE) yol açabileceği bildiriliyor.

Her iki güvenlik açığının önem derecesi CVSS v4.0: 9.2/10 (Kritik) olarak değerlendiriliyor.

Bu durum yalnızca belirli bir CMS veya web uygulamasını değil, doğrudan PHP altyapısını ilgilendirdiğinden çok sayıda web sitesini ve hosting sunucusunu etkileyebilir.​

---

Bu Açıklar Ne İşe Yarıyor?

RCE, saldırganın belirli koşullar altında hedef sunucuda uzaktan kod çalıştırabilmesi anlamına gelir.

Söz konusu güvenlik açıklarının başarılı biçimde istismar edilmesi durumunda, sunucunun yapılandırmasına ve çalışan PHP işleminin yetkilerine bağlı olarak aşağıdaki riskler ortaya çıkabilir:

- Sunucuda yetkisiz kod veya komut çalıştırılması
- Web sitesi dosyalarının değiştirilmesi
- Hassas uygulama bilgilerinin ele geçirilmesi
- Web uygulamasına zararlı yazılım veya arka kapı yerleştirilmesi
- Sunucudaki diğer uygulamaların güvenliğinin tehlikeye girmesi

Kamuya yansıyan teknik araştırmalar, PHP'nin oturum yönetimi ve dosya yükleme işlemleriyle ilişkili mekanizmalarına dikkat çekmektedir.

Ancak iki açığın kesin teknik kapsamı ve birbirinden farkları için PHP'nin resmi güvenlik açıklamaları esas alınmalıdır.​

---

Hangi PHP Sürümleri Etkileniyor?

İlk güvenlik duyurularına göre PHP 5 ve sonrasındaki sürümler potansiyel olarak etkilenebiliyor.

21 Ekim tarihli acil güvenlik güncellemesi kapsamında beklenen düzeltilmiş sürümler şu şekilde:

PHP Serisi | Beklenen Güvenli Sürüm

PHP 8.5 | 8.5.12
PHP 8.4 | 8.4.27
PHP 8.3 | 8.3.36
PHP 8.2 | 8.2.35
PHP 8.1 ve öncesi | Resmî destek sona erdi; desteklenen bir sürüme geçilmeli

Not: Tablodaki sürümler ön duyurularda bildirilen beklenen sürümlerdir. Güncelleme yapmadan önce PHP'nin resmî yayın notları veya kullandığınız Linux dağıtımının güvenlik duyurusu kontrol edilmelidir. Bazı dağıtımlar güvenlik yamalarını mevcut paket sürümlerine uygulayabilir.​

---

Sunucunuzun PHP Sürümünü Nasıl Kontrol Edersiniz?

SSH üzerinden aşağıdaki komutu çalıştırabilirsiniz:

Kod:Panoya kopyala

php -v

Ancak bu komut yalnızca terminalde kullanılan PHP sürümünü gösterir. Web siteniz farklı bir PHP-FPM sürümüyle çalışıyor olabilir.

Debian ve Ubuntu tabanlı sistemlerde kurulu PHP paketlerini incelemek için:

Kod:Panoya kopyala

dpkg -l 'php*'

PHP-FPM servislerini görüntülemek için:

Kod:Panoya kopyala

systemctl list-units 'php*-fpm.service' --all

cPanel, Plesk veya benzeri kontrol panellerini kullananların ayrıca web sitelerine atanmış PHP sürümlerini kontrol etmeleri gerekir.​

---

Geçici Koruma Nasıl Sağlanır?

Güvenlik güncellemesi henüz yüklenemiyorsa saldırı yüzeyini azaltmak amacıyla bazı önlemler uygulanabilir.

A) PHP Session Upload Progress Özelliğini Kapatın

PHP yapılandırma dosyanızdaki php.ini aşağıdaki ayarı bulun:

Kod:Panoya kopyala

session.upload_progress.enabled = Off

Bu ayar PHP'nin oturum tabanlı dosya yükleme ilerlemesi özelliğini devre dışı bırakır.

İlgili php.ini dosyasını belirlemek için:

Kod:Panoya kopyala

php --ini

Dikkat: Bu komut terminaldeki PHP yapılandırmasını gösterir. PHP-FPM veya Apache üzerinden çalışan web sitelerinde farklı yapılandırma dosyaları kullanılıyor olabilir.

PHP-FPM kullanıyorsanız ilgili havuz yapılandırmasında şu ayar da uygulanabilir:

Kod:Panoya kopyala

php_admin_flag[session.upload_progress.enabled] = off

Değişiklik sonrasında ilgili PHP-FPM servisini yeniden yüklemeniz gerekir. Örneğin PHP 8.4 için:

Kod:Panoya kopyala

sudo systemctl reload php8.4-fpm

Bu işlemden önce yapılandırmanızın geçerli olduğundan emin olun.

Önemli: Bu ayar, kamuya açıklanan olası saldırı yöntemlerinden birine karşı riski azaltmak amacıyla önerilmektedir. Her iki CVE için kesin çözüm değildir.

B) Gereksiz Multipart İsteklerini Kısıtlayın

Açıkların olası istismar yöntemleri multipart/form-data türündeki HTTP istekleriyle ilişkilendirilmektedir.

Dosya yükleme veya multipart form gönderimi gerektirmeyen uygulama uç noktalarında bu isteklerin sınırlandırılması saldırı yüzeyini azaltabilir.

Ancak bu işlemin bütün web sitesine bilinçsizce uygulanması dosya yükleme, form gönderme ve bazı API özelliklerini bozabilir.

Cloudflare WAF, ModSecurity ve benzeri güvenlik sistemlerinin güncel kurallarından yararlanılması da önerilir.

C) Gerektiğinde Erişimi Sınırlandırın

Güncelleme uygulanamayan, özellikle internete açık ve kritik önem taşıyan PHP uygulamalarında geçici erişim kısıtlamaları değerlendirilmelidir.

Yönetim panellerinin yalnızca güvenilir IP adreslerinden erişilebilir olması, gereksiz servislerin kapatılması ve uygulamaların mümkün olduğunca düşük yetkilerle çalıştırılması olası zararı azaltabilir.
D) Cloudflare gibi bir WAF koruması kullanıyorsanız aşağıdaki kuralı girebilirsiniz

Kod:Panoya kopyala

(any(lower(http.request.headers["content-type"][*])[*] contains "multipart"))

Bu Cloudflare WAF kuralı, web sitene gelen multipart içerikli HTTP isteklerini engeller.​

---

Kalıcı Çözüm Nedir?

Kalıcı çözüm, PHP'nin ilgili güvenlik açıklarını gideren güncel sürümüne geçmektir.

Güncelleme sırasında şu işlemlere dikkat edilmelidir:

1. Web sitesi dosyalarının, veritabanlarının ve önemli yapılandırmaların yedeğini alın.
2. Sunucuda kullanılan tüm PHP sürümlerini belirleyin.
3. PHP projesinin veya dağıtım sağlayıcısının güvenlik güncellemesini yükleyin.
4. PHP-FPM veya ilgili web servislerini kontrollü biçimde yeniden yükleyin.
5. Web sitelerinin çalıştığını ve güvenlik güncellemesinin etkin olduğunu doğrulayın.

cPanel, Plesk, CloudLinux gibi sistemlerde PHP paketlerinin yayınlanması ve uygulanması kontrol paneli sağlayıcısına bağlı olabilir.

Eski ve destek dışı PHP sürümlerini kullanmaya devam etmek yerine güncel ve desteklenen bir PHP sürümüne geçilmelidir.​

---

6. Sunucum Ele Geçirilmiş Olabilir mi?

Bir güvenlik açığının mevcut olması, sunucunun kesinlikle ele geçirildiği anlamına gelmez.

Ancak özellikle internete açık PHP uygulamalarında şu kontroller yapılabilir:

- Web sunucusu erişim ve hata kayıtlarının incelenmesi
- Beklenmeyen PHP dosyalarının araştırılması
- PHP-FPM çökme ve yeniden başlama olaylarının kontrol edilmesi
- Şüpheli dosya değişikliklerinin incelenmesi
- Uygulama kullanıcılarının yetkilerinin gözden geçirilmesi
- Güvenlik duvarı ve WAF kayıtlarının değerlendirilmesi

Şüpheli bir durum tespit edilirse loglar korunmalı ve olay müdahale süreci başlatılmalıdır.​

---

7. Resmî Kaynaklar

- PHP resmî duyuruları:

Değerli ziyaretçimiz, içeriği görebilmek için şimdi giriş yapın veya kayıt olun.

- CERT-EU güvenlik bülteni:

Değerli ziyaretçimiz, içeriği görebilmek için şimdi giriş yapın veya kayıt olun.

- Tenable güvenlik araştırması:

Değerli ziyaretçimiz, içeriği görebilmek için şimdi giriş yapın veya kayıt olun.

- Plesk güvenlik duyurusu:

Değerli ziyaretçimiz, içeriği görebilmek için şimdi giriş yapın veya kayıt olun.

​

---

Sonuç

PHP kullanan herkesin bu iki kritik güvenlik açığını dikkate almasını öneriyorum.

Özellikle hosting sağlayıcıları, sistem yöneticileri ve internete açık PHP uygulamaları barındıran kullanıcıların mevcut sürümlerini kontrol etmeleri ve güvenlik güncellemelerini geciktirmeden uygulamaları gerekiyor.

Unutmayın: session.upload_progress.enabled = Off geçici bir önlemdir. Asıl çözüm güvenlik yamasının uygulanmasıdır.

Herkese güvenli sistemler dilerim.

Ekli dosyayı görüntüle 299756​

Genişletmek için tıkla ...