PHP iki kritik açık için uyardı, acil yamalar 21 Ekim'de geliyor

PHP güvenlik ekibi, iki kritik açığı kapatacak acil güncellemeler için yöneticileri uyardı. BleepingComputer'ın aktardığına göre düzeltmelerin 21 Ekim 2026 Çarşamba günü saat 14:00 UTC'de (Türkiye saatiyle 17:00) yayımlanması planlanıyor. PHP dünyadaki web sunucularının önemli bir bölümünde çalıştığı için bu ön uyarı, kurumlara teknik ayrıntılar kamuya açılmadan önce bakım planı yapmaları için kısa bir süre tanıyor.

Neler oldu?

BleepingComputer'a göre PHP, 20 Ekim Salı günü bir güvenlik duyurusu yayımladı ve ANNOUNCE e-posta listesine gönderdiği bildirimde yöneticilerden güncellemeleri çıkar çıkmaz kurmalarını istedi. Proje, iki açığı da CVSS v4.0'a göre 9,2 olarak puanladı. PHP ayrıca ayrıntıların kamuya açılması veya aktif istismar tespit edilmesi hâlinde yamaları daha erken yayımlama hakkını saklı tuttuğunu belirtti.

PHP henüz etkilenen sürümleri, açıkların niteliğini ve düzeltilmiş sürümleri açıklamadı. Bu bilgilerin güncellemelerle birlikte paylaşılması bekleniyor.

Açıklar hakkında bilinenler

BleepingComputer'ın güvenlik şirketi watchTowr'a ve sonradan silinen bir Hacker News paylaşımına dayandırdığı bilgilere göre açıklar, CVE-2026-109618 ve CVE-2026-109619 numaralarıyla izlenen uzaktan kod çalıştırma açıkları. watchTowr, açıkların PHP 5, 6, 7 ve 8'i etkilediğini düşündüğünü söylüyor; silinen paylaşımda da açıkların PHP 5'e kadar uzandığı iddia edilmişti.

Kaynaklar arasında bazı tutarsızlıklar var. watchTowr ve silinen paylaşım iki açığı da CVSS 10,0 olarak tanımlarken PHP 9,2 puan verdi. watchTowr ambargonun Perşembe günü ABD Doğu saatiyle 11:00'de biteceğini, Hacker News paylaşımı ise açıklamanın 22 Ekim'de yapılacağını söylemişti; PHP ise yayını Çarşamba gününe planladı. Bu farklılıklar henüz kamuoyu önünde netleşmiş değil.

watchTowr CEO'su Benjamin Harris, BleepingComputer'a ayrıntıların son bir saat içinde sızdığını ve açıkların gerçek olduğunu doğruladı. Şirket, CVE-2026-109618 açığını yeniden ürettiğini ancak yamalar çıkana kadar teknik ayrıntı paylaşmayacağını belirtiyor. Habere göre watchTowr şu ana kadar aktif bir istismar gözlemlemedi.

Kimler etkileniyor?

PHP kendi duyurusunu yayımlayana kadar etkilenen sürüm dallarının tam listesi doğrulanmış değil. watchTowr'un değerlendirmesi doğruysa açıklar, artık resmî destek almayan sürümler de dahil olmak üzere birçok ana sürümü kapsayabilir. Barındırma firmaları, PHP tabanlı içerik yönetim sistemleri kullanan kurumlar ve eski PHP kurulumlarını sürdüren ekipler bu sürümü öncelikli olarak ele almalı.

Ne yapmalı?

• 21 Ekim için acil bakım penceresi planlayın ve yeni PHP sürümleri yayımlanır yayımlanmaz dağıtmaya hazır olun.
• Konteynerler, cihazlar ve eski sunucular dahil PHP çalışan tüm sistemlerin envanterini çıkarın.
• Linux dağıtımınızın veya barındırma sağlayıcınızın geriye taşınmış paket yayımlayıp yayımlamayacağını takip edin.
• Desteği sona ermiş PHP sürümlerini tespit edin; bunlar düzeltme almayabileceği için yalıtım veya yükseltme planlayın.
• PHP'nin tam duyurusu yayımlandığında etkilenen sürümleri ve olası geçici önlemleri inceleyin.