Michael JohnsonPHP, 21 Ekim 2026’da kimlik doğrulaması olmadan uzaktan kod yürütülmesine olanak verebilecek iki kritik güvenlik açığını duyurdu. Proje aynı gün 8.5, 8.4, 8.3 ve 8.2 dalları için yamalar yayımladı ve kullanıcılara gecikmeden güncelleme yapmalarını önerdi. PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed dahil web isteklerine hizmet veren kurulumlar savunmasız olabilir; PHP’nin duyurusunda bu konuda bilgi veriliyor.
Düzeltilmiş sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35’tir. Bu sürümler, bellek yetersizliği sırasında durumun bozulmasıyla ilişkili CVE-2026-109618’i ve bir isteğin durumunun çalışan süreçte kalıp sonraki isteğin işlenmesinde kullanılabilmesine neden olan CVE-2026-109619’u gideriyor. Listelenen sürümlerin altındaki sürümler etkileniyor. PHP 8.1 ve daha eski dallar için proje artık kendi güncellemelerini yayımlamadığından, bu sistemlerin yöneticileri dağıtım sağlayıcısından veya uzun süreli destek (LTS) sağlayıcısından yama olup olmadığını kontrol etmeli.
Web isteğinin yaşam döngüsündeki iki hata
CVE-2026-109618’de, dahili veriler henüz tamamen başlatılmamışken bellek yetersizliği nedeniyle isteğin işlenmesi kesintiye uğrayabilir. PHP daha sonra sonlandırma sırasında hatalı bir duruma erişebilir. Geliştiriciler güvenlik duyurusunda, multipart istekleri ve bellek sınırının aşılmasıyla ilgili senaryoları özellikle açıklıyor. Apache mod_php için sorunun uygulama kodu çalışmaya başlamadan önce ortaya çıktığı bir senaryo doğrulandı; PHP, bu yapılandırmadaki riskin daha yüksek olduğunu da belirtiyor.
CVE-2026-109619, çalışan süreç tarafından istekler arasında saklanan durumu etkiliyor. Veriler temizlenmeden önce bir işlem hata verirse önceki isteğin belleği serbest bırakılıyor, ancak ona işaret eden bir başvuru kalıyor. Aynı sürece yönlendirilen sonraki istek, olağan başlatma gerçekleşmeden önce artık geçerli olmayan bu duruma erişebilir. Projenin güvenlik duyurusunda PHP, erken tanılama işlemleri ve dosya yükleme ilerleme durumunun işlenmesi üzerinden doğrulanan yolları açıklıyor; her bir yolun uygulanabilirliği yapılandırmaya, uygulamaya ve kullanılan eklentilere bağlı.
Her iki güvenlik açığı da CVSS 4.0 ölçeğinde 9,2 puan aldı. PHP’ye göre doğrulanmış etkiler arasında web çalışanının ayrıcalıklarıyla kod yürütülmesi bulunuyor. Bellek yetersizliği hatasına ilişkin güvenlik duyurusunda mod_php’ye yönelik tam bir HTTP senaryosu doğrulanmış durumda; PHP-FPM içinse kaynak kodu analizi ve etkilenme koşulları açıklanıyor. Bu nedenle belirli bir dağıtım değerlendirilirken bu bilgileri birbirinden ayırmak önemli.
Yöneticiler neleri kontrol etmeli?
Öncelikle web trafiğine gerçekten hizmet veren PHP sürümlerini belirleyin: aynı sunucuda ayrı CLI, FPM ve Apache derlemeleri çalışabilir; kapsayıcılar ve küme düğümleri de birbirinden bağımsız güncellenebilir. Desteklenen her dal için ilgili düzeltilmiş sürümü veya yamayı içerdiği doğrulanmış sağlayıcı paketini yükleyin. Ardından tüm PHP çalışanlarını yeniden başlatın ve yeniden başlatma sonrasında sürümlerini kontrol edin; dosyaları yenileyip çalışan süreçleri yeniden başlatmamak, eski süreçlerin çalışmaya devam etmesine neden olur.
PHP 8.1 ve daha eski sürümler için destek durumunu ve dağıtım sağlayıcısının ya da LTS sağlayıcısının geriye dönük yama sunup sunmadığını kontrol edin. Böyle bir paket yoksa desteklenen bir dala geçiş planlayın. PHP, Linux dağıtımı sağlayıcılarının yamaları önceden aldığını belirtiyor; bu sağlayıcıların paket sürüm numaraları resmî PHP sürümünden farklı olabileceğinden, pakete düzeltmenin dahil edilip edilmediğini doğrulayın.
Geçici yapılandırma değişiklikleri ve istek filtreleme bazı saldırı yollarını daraltabilir, ancak proje her iki sorunu da tamamen gidermenin tek yolunun güncelleme olduğunu belirtiyor. Ekipler için pratik öncelik; tüm web çalışanlarının envanterini çıkarmak, yamalı paketi yüklemek, süreçleri yeniden başlatmak ve sonucu her düğümde doğrulamaktır. Doğrulanmış güvenlik açıklarını kapatan adımlar bunlardır; yalnızca web sunucusu yapılandırmasına güvenmek yeterli değildir.