Next
PHP ekibi, 21 Ekim’de yayımladığı güvenlik duyurusunda CVE-2026-109618 ve CVE-2026-109619 numaralı iki kritik açığı açıkladı. Projenin bildirimine göre açıklar, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına yol açabilecek nitelikte.
Güvenlik düzeltmeleri PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde yayımlandı. PHP, web isteği karşılayan kurulumların etkilenebileceğini belirterek kullanıcıların kullandıkları sürümü kontrol edip güncelleme yapmasını önerdi.
Hangi sistemler kontrol edilmeli?
PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed gibi web sunucusu kurulumları gözden geçirilmeli. Dağıtım veya barındırma sağlayıcısı eski bir PHP dalı kullanıyorsa, güvenlik düzeltmesinin geriye taşınıp taşınmadığı sağlayıcıdan doğrulanmalı. PHP 8.1 ve daha eski dallarda upstream desteği bulunmadığından, güncelleme planı ayrıca kontrol edilmeli.
Avrupa Birliği Siber Güvenlik Ajansı ENISA da internete açık sistemlerin önceliklendirilmesini ve güncellemenin gecikmeden uygulanmasını tavsiye etti. Güncelleme tamamlanana kadar erişimi kısıtlama gibi önlemler riski azaltabilir; bunlar yamalı sürüme geçmenin yerine geçmez.
Duyuruda saldırıların yaygın biçimde kullanıldığına dair doğrulanmış bir bilgi paylaşılmadı. Bu nedenle sistem yöneticilerinin mevcut sürüm ve sağlayıcı duyurularını kontrol ederek hareket etmesi gerekiyor.
