CVE-2026-109618 ve CVE-2026-109619 numaralı güvenlik açıkları, PHP'nin çekirdek motorundaki bellek yönetimi ve hatalı durum temizleme mekanizmalarından kaynaklanıyor. Kritik seviyedeki açıklar, özel olarak hazırlanmış istekler aracılığıyla PHP çalışan sunucularda uzaktan kod çalıştırılmasına (RCE) yol açabiliyor.
Bu durum, özellikle internete açık PHP uygulamalarını kullanan web siteleri açısından ciddi bir güvenlik riski oluşturuyor. Açıkların bulunduğu sistemlerde saldırganların PHP sürecinin yetkileri dahilinde sunucuda kötü amaçlı işlemler gerçekleştirmesi mümkün olabilir.
CVE-2026-109618 ve CVE-2026-109619 nedir?
Söz konusu iki güvenlik açığı doğrudan PHP'nin çalışma motoruyla ilgili. Açıklardan biri bellek yetersizliği (OOM) sırasında oluşan hatalı durumların temizlenmesiyle, diğeri ise önceki işlemlerden kalan ve artık geçerli olmaması gereken dahili durumların sonraki isteklerde kullanılabilmesiyle bağlantılı.
Bu nedenle sorun yalnızca belirli bir PHP uygulamasındaki kod hatasından kaynaklanmıyor. PHP'nin kendisini çalıştıran altyapının güncel ve güvenli bir sürümde olması gerekiyor.
PHP güvenlik açığı neleri etkiler?
Açıklar doğrudan PHP çalışma ortamını etkilediği için PHP-FPM, Apache üzerinde mod_php, php-cgi ve benzeri PHP çalıştırma yapılandırmalarına sahip sistemlerin kontrol edilmesi gerekiyor.
Risk, PHP kullanan internet sitelerinin yanı sıra WordPress, Joomla ve Drupal gibi PHP tabanlı içerik yönetim sistemlerini, özel PHP uygulamalarını ve PHP içeren sunucu veya container ortamlarını da ilgilendiriyor.
Saldırgan sunucuda neler yapabilir?
Başarılı bir saldırının sonuçları, sunucunun yapılandırmasına ve PHP sürecinin sahip olduğu yetkilere göre değişebilir. Ancak uzaktan kod çalıştırma gerçekleşmesi halinde saldırganın ciddi işlemler yapabilmesi mümkün olabilir.
- Web sitesi dosyalarını değiştirebilir.
- Zararlı PHP dosyaları veya web shell yükleyebilir.
- Uygulamanın erişebildiği veritabanı bilgilerine ulaşabilir.
- Hassas dosyaları ele geçirmeye çalışabilir.
- Sunucuda kötü amaçlı komutlar çalıştırabilir.
- Sunucunun kaynaklarını spam veya başka saldırılar için kullanabilir.
Burada önemli olan nokta, PHP açığının otomatik olarak tüm sunucunun yönetici yetkileriyle ele geçirileceği anlamına gelmemesidir. Saldırının etkisi PHP'nin hangi kullanıcıyla çalıştığına, dosya izinlerine, sunucu yapılandırmasına ve kullanılan izolasyon mekanizmalarına göre değişir.
Hangi PHP sürümleri kullanılmalı?
CVE-2026-109618 ve CVE-2026-109619 için PHP sürümünün güvenlik yamalarını içeren güncel bir sürüme yükseltilmesi gerekiyor. İlgili sürümler için belirtilen güvenli seviyeler şöyle:
| PHP dalı | Yamalı sürüm |
|---|---|
| PHP 8.2 | 8.2.35 ve üzeri |
| PHP 8.3 | 8.3.36 ve üzeri |
| PHP 8.4 | 8.4.27 ve üzeri |
| PHP 8.5 | 8.5.12 ve üzeri |
Örneğin PHP 8.3.35 kullanan bir sunucunun PHP 8.3.36 veya daha güncel bir sürüme yükseltilmesi gerekiyor. Benzer şekilde 8.4.26 ve 8.5.11 gibi sürümlerin de ilgili yamalı sürümlere geçirilmesi önem taşıyor.
Yazılım bilinmiyorsa güvenlik açığı nasıl kapatılır?
Sitenin kaynak kodunu bilmiyorsanız veya hazır ve kapalı bir PHP scripti kullanıyorsanız, öncelikle kod üzerinde değişiklik yapmanız gerekmiyor. Bu durumda yapılması gereken işlem sunucu veya hosting seviyesinde PHP çalışma ortamının güncellenmesini sağlamak.
Hosting panelinde genellikle PHP Sürümü, PHP Version, MultiPHP veya Select PHP Version gibi bölümler bulunuyor. Buradan sitenin kullandığı PHP sürümü kontrol edilebilir.
SSH erişimi bulunan sunucularda ise aşağıdaki komutla komut satırındaki PHP sürümü görülebilir:
php -vAncak komut satırında görülen PHP sürümü ile web sitesinin kullandığı PHP sürümü her zaman aynı olmayabilir. Bu nedenle özellikle PHP-FPM, Apache veya LiteSpeed kullanan sistemlerde web sitesinin gerçek çalışma ortamının da kontrol edilmesi gerekiyor.
Hosting firmasına ne söylenmeli?
Teknik bilgiye sahip olmayan kullanıcılar, hosting şirketlerine doğrudan güvenlik güncellemesi talebi iletebilir. Destek ekibine şu mesaj gönderilebilir:
Merhaba,
Sunucumda çalışan PHP sürümünün CVE-2026-109618 ve CVE-2026-109619 güvenlik açıklarından etkilenip etkilenmediğinin kontrol edilmesini ve kullanılan PHP çalışma ortamının güvenli/yamalı sürüme yükseltilmesini rica ediyorum.
Mümkünse PHP'nin desteklenen ve yamalı bir sürümüne (8.2.35+, 8.3.36+, 8.4.27+ veya 8.5.12+) güncellenmesini istiyorum.
Ayrıca web sitemin kullandığı PHP-FPM, mod_php veya diğer PHP çalışma ortamının gerçekten güncellenip güncellenmediğinin kontrol edilmesini rica ediyorum.
Güncelleme tamamlandığında kullanılan PHP sürümünün ve CVE-2026-109618 ile CVE-2026-109619 açısından sistemin yamalı olduğunun teyit edilmesini rica ederim.
Teşekkürler.
WAF kullanmak açığı kapatır mı?
Güncelleme mümkün değilse WAF, ModSecurity veya Cloudflare gibi güvenlik katmanları ek koruma sağlayabilir. Ancak bunlar PHP güncellemesinin yerine geçmez.
Bu nedenle WAF kullanılması, PHP sürümünün güncellenmesini ertelemek için gerekçe olarak görülmemeli. En doğru yaklaşım PHP çalışma ortamını güvenlik yamalarını içeren sürüme yükseltmek ve WAF gibi ek güvenlik katmanlarını savunmayı güçlendirmek için kullanmaktır.
WordPress kullanıyorsanız dikkat
WordPress, tema ve eklentilerin güncel olması güvenlik açısından önemli olsa da bu iki açığın kapatılması için yalnızca WordPress'i güncellemek yeterli değildir.
Örneğin WordPress güncel olsa bile sunucu PHP 8.3.35 kullanıyorsa PHP tarafındaki ilgili güvenlik açığı devam edebilir. Bu nedenle WordPress kullanıcılarının hem içerik yönetim sistemini hem de sunucudaki PHP çalışma ortamını güncel tutması gerekir.
Güncelleme hemen yapılamıyorsa ne yapılmalı?
PHP sürümünün hemen güncellenemediği durumlarda riskin azaltılması için ek güvenlik önlemleri alınabilir. Bunlar arasında PHP uygulamasının internete doğrudan açık olup olmadığının kontrol edilmesi, mümkünse erişimin kısıtlanması, WAF/CDN kullanılması ve sunucu loglarının incelenmesi yer alıyor.
- Web sunucusu ve PHP loglarını kontrol edin.
- Web dizinlerinde sonradan oluşturulmuş şüpheli PHP dosyalarını inceleyin.
- Bilinmeyen kullanıcı hesaplarını kontrol edin.
- Şüpheli cron görevlerini ve çalışan işlemleri inceleyin.
- Olağandışı dış bağlantıları ve sunucu kaynak kullanımını kontrol edin.
- Güncelleme sonrasında da sistemde şüpheli hareket olup olmadığını takip edin.
Sunucu daha önce saldırıya uğramış olabilir mi?
PHP'yi güncellemek yalnızca açığın bundan sonraki süreçte istismar edilmesini önlemeye yardımcı olur. Eğer eski ve savunmasız bir PHP sürümü uzun süre internete açık şekilde kullanıldıysa, daha önce saldırı gerçekleşip gerçekleşmediğinin ayrıca kontrol edilmesi gerekir.
Özellikle web dizinlerinde bilinmeyen PHP dosyaları, beklenmeyen kullanıcı hesapları, şüpheli işlemler, olağandışı dış bağlantılar veya açıklanamayan kaynak tüketimi görülüyorsa profesyonel bir güvenlik incelemesi yapılması önemlidir.
PHP güvenlik açığı için en doğru çözüm
CVE-2026-109618 ve CVE-2026-109619 için en önemli adım PHP'nin güvenlik yamaları uygulanmış bir sürüme yükseltilmesidir. Yazılımın kaynak kodunu bilmiyorsanız öncelikle hosting şirketinizle iletişime geçmeniz yeterli olabilir.
Kısacası: PHP sürümünü kontrol edin, yamalı sürüme yükseltin, hosting firmasından güncellemenin doğrulanmasını isteyin ve ardından sunucu logları ile dosyalarında şüpheli hareket olup olmadığını kontrol edin.
