Dünya genelinde internet siteleri ve kurumsal uygulamalarda yaygın olarak kullanılan PHP yazılımında iki kritik güvenlik açığı tespit edildi. Yetkisiz saldırganların uzaktan kod çalıştırmasına olanak verebilecek açıklar nedeniyle PHP kullanıcılarına acil güncelleme çağrısı yapıldı.
Gelişmenin ardından Türkiye'den de açıklama geldi. Siber Güvenlik Başkanlığı, e-Devlet Kapısı'ndaki güvenlik kontrollerinin tamamlandığını ve hizmetlerin kesintisiz şekilde devam ettiğini bildirdi.
PHP'de iki kritik güvenlik açığı tespit edildi
PHP tarafından yayımlanan güvenlik duyurusunda, CVE-2026-109618 ve CVE-2026-109619 numaralı iki açığın kritik seviyede olduğu belirtildi.
Açıkların, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına (RCE) yol açabileceği bildirildi. Riskin, web isteklerini karşılayan tüm PHP kurulumlarını kapsadığı; PHP-FPM, Apache ile mod_php, php-cgi, FrankenPHP ve LiteSpeed kullanan sistemlerin de etkilendiği açıklandı.
PHP ekibi, özellikle mod_php kullanan sistemlerde riskin daha yüksek olduğunu belirtti. Yapılan açıklamaya göre, uygulama kodu çalışmaya başlamadan önce bile yetkisiz bir isteğin saldırıyı tetikleyebildiği gösterildi.
CVE-2026-109618 ve CVE-2026-109619 açıkları ne yapıyor?
CVE-2026-109618 numaralı güvenlik açığı, bellek yetersizliği (OOM) işlemleri sırasında PHP'nin dahili istek verilerinin henüz tamamen oluşturulmadan kesintiye uğramasıyla ortaya çıkıyor. Daha sonra istek temizleme işleminin geçersiz verileri geçerli kabul etmesi, uzaktan kod çalıştırma riskine neden olabiliyor.
CVE-2026-109619 ise istek sırasında kullanılan dahili durum bilgilerinin, bağlı olduğu bellek serbest bırakıldıktan sonra sistemde kalmasıyla ilgili. Aynı çalışan süreç tarafından işlenen sonraki bir isteğin, normal başlatma işlemi gerçekleşmeden önce bu eski durumu kullanabilmesi güvenlik açığı oluşturuyor.
Hangi PHP sürümlerinin güncellenmesi gerekiyor?
PHP güvenlik ekibi, açıkların kapatıldığı sürümlere geçilmesini ve güncellemenin mümkün olan en kısa sürede yapılmasını önerdi. Düzeltilmiş sürümler şöyle:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Linux dağıtımları ve uzun süreli destek (LTS) sağlayan satıcıların da güvenlik yamalarını önceden aldığı belirtildi. Bu nedenle sunucu yöneticilerinin kullandıkları işletim sistemi veya dağıtımın güncel paketlerini kontrol etmeleri gerekiyor.
PHP 8.1 ve daha eski sürümler artık PHP projesi tarafından güncellenmiyor. Ancak bazı dağıtımlar ve LTS sağlayıcıları bu sürümler için geriye dönük güvenlik yamaları sunabiliyor. PHP ekibi, mümkünse desteklenen bir sürüme yükseltme yapılmasını tavsiye ediyor.
Güncelleme hemen yapılamıyorsa ne yapılmalı?
PHP ekibi, güncellemenin tam çözüm olduğunu özellikle vurgularken, güncelleme yapılamadığı durumlarda bazı önlemlerin belirli saldırı yollarına karşı maruz kalma riskini azaltabileceğini belirtti. Ancak bu önlemlerin sistemi tamamen güvenli hale getirmediği konusunda uyarıda bulunuldu.
CVE-2026-109618 için PHP bellek limitinin devre dışı bırakılması, istek boyutlarının sınırlandırılması ve web sunucusu ya da proxy seviyesinde ek istek kontrolleri uygulanması önerildi. Dosya yüklemesi gerekmeyen uygulamalarda post_max_size = 8M, dosya yüklemesinin gerekli olduğu uygulamalarda ise post_max_size = 32M gibi düşük sınırların kullanılabileceği belirtildi.
CVE-2026-109619 için ise session.upload_progress.enabled=0 ayarının devre dışı bırakılması ve tüm çalışan süreçlerin yeniden başlatılması önerildi. PHP 8.5 kullanan sistemlerde fatal_error_backtraces=0 ayarının da belirli saldırı yollarını engelleyebileceği aktarıldı.
Bununla birlikte, teşhis mesajlarını yalnızca error_reporting, display_errors veya @ kullanarak gizlemenin güvenlik açığını ortadan kaldırmadığı vurgulandı.
Siber Güvenlik Başkanlığından e-Devlet açıklaması
Türkiye'de ise Siber Güvenlik Başkanlığı, gelişmenin ardından e-Devlet Kapısı'na yönelik güvenlik kontrollerinin tamamlandığını duyurdu.
Yapılan açıklamada, e-Devlet hizmetlerinde herhangi bir kesinti yaşanmadığı ve hizmetlerin kesintisiz şekilde sürdüğü bildirildi.
PHP'nin dünya genelinde internet siteleri ve kurumsal uygulamalarda yaygın olarak kullanılması nedeniyle güvenlik güncellemesinin geciktirilmemesi önem taşıyor. Özellikle web sunucusu yöneten kurum ve kuruluşların kullandıkları PHP sürümünü kontrol ederek güvenlik yamalarını uygulaması gerekiyor.
