#1 1 hafta önce

PHP'de Kritik Güvenlik Açığı: CVE-2026-109618 ve CVE-2026-109619 – Sunucularınızı Hemen Güncelleyin!

21 Ekim 2026 tarihinde PHP altyapısını etkileyen iki kritik güvenlik açığı kamuoyuna duyuruldu. CVE-2026-109618 ve CVE-2026-109619 olarak tanımlanan bu açıklar, saldırganların kimlik doğrulaması yapmadan uzaktan zararlı kod çalıştırmasına (Remote Code Execution – RCE) olanak sağlayabiliyor.

CVSS 9.2/10 kritik önem derecesine sahip güvenlik açıkları, dünya genelinde milyonlarca web sitesini ve sunucuyu ilgilendiriyor.

Güvenlik Açıklarının Teknik Detayları

CVE-2026-109618: PHP'nin bellek yetersizliği (Out of Memory – OOM) durumlarını yönetme biçimindeki bir hatadan kaynaklanıyor. Bellek işlemlerinin yarıda kalması, geçersiz bellek verilerinin kullanılmasına ve uygun koşullarda uzaktan kod çalıştırılmasına neden olabiliyor.

CVE-2026-109619: PHP'nin bellek yönetiminde ortaya çıkan Use-After-Free (CWE-416) güvenlik açığıdır. Serbest bırakılmış bellek alanlarına sonraki isteklerde yeniden erişilmesi, saldırganların sunucu üzerinde yetkisiz kod çalıştırmasına yol açabiliyor.

Her iki açık da başarılı şekilde istismar edildiğinde web sitelerinin ele geçirilmesi, hassas verilerin çalınması ve sunucu güvenliğinin tehlikeye girmesi gibi ciddi sonuçlar doğurabiliyor.

Hangi PHP Sürümleri Etkileniyor?

PHP 5.4 sürümünden PHP 8.5.11 sürümüne kadar olan sürümler bu güvenlik açıklarından etkileniyor.

Güvenlik düzeltmelerini içeren sürümler:

PHP SerisiGüvenli SürümPHP 8.58.5.12PHP 8.48.4.27PHP 8.38.3.36PHP 8.28.2.35PHP 8.1 ve öncesiResmî PHP desteği sona erdi

PHP 8.1 ve daha eski sürümler için PHP projesi tarafından yeni güvenlik güncellemesi yayımlanmıyor. Ancak bazı işletim sistemi ve hosting sağlayıcıları eski sürümler için özel güvenlik yamaları sunabiliyor.

cPanel, Plesk ve Hosting Sunucuları Etkileniyor mu?

Evet. Özellikle PHP tabanlı web sitelerini barındıran hosting sunucuları risk altında.

  • cPanel/WHM: EasyApache 4 üzerinden güvenlik yamaları yayımlandı. Sistem yöneticilerinin PHP paketlerini güncellemesi gerekiyor.

  • Plesk: Plesk tarafından dağıtılan PHP sürümleri de etkileniyor. Güvenlik yamalarının kullanılabilirliği kontrol edilmeli.

  • Apache ve LiteSpeed: PHP kullanan web sunucuları etkilenebiliyor.

  • PHP-FPM: Güvenlik açığından etkileniyor ancak istismar koşulları kullanılan yapılandırmaya göre değişebiliyor.

Özellikle Apache mod_php yapılandırmalarında saldırının uygulama kodu çalıştırılmadan önce tetiklenebilmesi riski artırıyor.

Sunucunuzu Nasıl Koruyabilirsiniz?

1. PHP sürümünüzü kontrol edin.

Terminal üzerinden PHP sürümünüzü öğrenebilirsiniz:

php -v

Bu komutun CLI PHP sürümünü gösterdiğini, web sitelerinizin farklı PHP sürümleri kullanabileceğini unutmayın.

2. PHP paketlerinizi güncelleyin.

cPanel/WHM kullanıcıları aşağıdaki komutla EasyApache PHP paketlerinin güncellemelerini yükleyebilir:

/scripts/rpmup

Plesk kullanıcıları ise Plesk Installer veya panel üzerinden PHP güncellemelerini kontrol edebilir.

3. Eski PHP sürümlerinden uzaklaşın.

PHP 7.x ve desteklenmeyen PHP 8.x sürümleri yerine güncel, güvenlik desteği devam eden PHP sürümlerini tercih edin.

4. Sunucu güvenlik kayıtlarını inceleyin.

Web sunucusu loglarını, beklenmeyen PHP işlemlerini, şüpheli dosyaları ve yetkisiz bağlantıları kontrol edin.

5. Güncellemeleri e***lemeyin.

Güvenlik açığının başarılı şekilde istismar edilmesi, saldırganların PHP işleminin yetkileriyle sunucuda komut çalıştırmasına neden olabilir. Bu nedenle özellikle internete açık sunucuların güncellenmesi büyük önem taşıyor.

Sonuç

CVE-2026-109618 ve CVE-2026-109619, PHP ekosisteminde son dönemde ortaya çıkan en ciddi güvenlik tehditleri arasında yer alıyor.

WordPress, Laravel ve diğer PHP tabanlı uygulamaları barındıran sistem yöneticilerinin yalnızca web uygulamalarını değil, sunucularındaki PHP çalışma ortamlarını da güncellemesi gerekiyor.

Unutmayın: WordPress veya diğer CMS yazılımlarını güncellemek, PHP'nin kendisindeki bu güvenlik açıklarını kapatmaz.

Kaynaklar

Yayın Tarihi: 22 Ekim 2026

📎 kapak görseli — büyütmek için tıkla