PHP ekosistemi, son yılların en kritik güvenlik gelişmelerinden biriyle sarsıldı. 21 Ekim 2026 tarihinde PHP geliştirici ekibi ve PHP Foundation tarafından yapılan acil bir güvenlik duyurusuyla, çekirdek yorumlayıcıda (core interpreter) tespit edilen ve uzaktan kod çalıştırma (RCE) potansiyeli taşıyan iki kritik zafiyet kamuoyuna açıklandı. CVSS skorları 9.2 gibi son derece yüksek bir seviyede değerlendirilen bu açıklar, internete açık tüm PHP sunucularını doğrudan hedef alıyor.
Zafiyetler Ne Anlama Geliyor?
Yayınlanan güvenlik bültenlerinde iki ayrı CVE numarasıyla listelenen bu açıklar, temel olarak PHP'nin bellek yönetimi mekanizmalarındaki zayıflıklardan kaynaklanıyor:
CVE-2026-109618 (OOM Bellek Bozulması): PHP, yapılandırılmış olan memory_limit sınırını aşan istekleri durdurmak için longjmp() mekanizmasını kullanır. Ancak bu durum, örneğin dosya yüklemeleri (form-based file upload) sırasında istek verileri henüz tam olarak işlenmemişken bir bellek aşımı hatası tetiklendiğinde bellek yönetiminde senkronizasyon sorunlarına yol açar. Temizlik süreci, geçersiz veriyi geçerli sanarak daha önce hiç başlatılmamış bir alanı boşaltmaya çalışır ve saldırganın önceden manipüle edebildiği bellek bölgeleri üzerinden kod çalıştırma şansı doğurur.
CVE-2026-109619 : PHP süreçleri gelen istekleri işlerken bazı dahili durum verilerini hafızada tutar. Kritik bir hata (fatal error) veya istisna durumunda, arka plandaki bellek serbest bırakılsa bile bu dahili durumun bir kısmı aslına uygun olarak sıfırlanmayabilir. Aynı worker tarafından işlenen bir sonraki masum istek, bu bayat ve kalıntı durumu temizlenmeden kullanabilir ve kimlik doğrulaması gerektirmeyen bir uzaktan kod yürütme senaryosuna kapı aralayabilir.
Neden Bu Kadar Tehlikeli?
Kimlik Doğrulama Gerektirmiyor (Unauthenticated): Saldırganların hedef sisteme erişmek için herhangi bir kullanıcı hesabına veya yetkiye ihtiyacı yoktur.
Uygulama Kodundan Önce Tetiklenebiliyor: İstekler, henüz geliştiricinin yazdığı uygulama mantığına (örneğin WordPress, Laravel veya özel PHP kodlarına) ulaşmadan, doğrudan PHP sunucu katmanında yakalanıp sömürülebilir.
Yaygın Altyapıları Etkiliyor: PHP-FPM, Apache (mod_php), php-cgi, FrankenPHP ve LiteSpeed dahil olmak üzere web isteği sunan hemen her PHP mimarisi risk altındadır. (PHP ekosistemi içinde en yüksek riskli yapılandırmanın mod_php olduğu belirtiliyor).
PHP Sürümünüzü Hemen Güncelleyin
- Geçici WAF (Web Uygulama Güvenlik Duvarı) kuralları veya yapılandırma değişiklikleri bir yere kadar koruma sağlasa da, tek tam çözüm güncellemeyi uygulamaktır. Sunucunuzdaki PHP paketlerini yukarıda belirtilen güvenli sürümlere (8.5.12, 8.4.27, 8.3.36, 8.2.35 veya işletim sisteminizin/panelinizin sağladığı güncel paketlere) derhal yükseltin.
WAF ve Sunucu Güvenlik Katmanlarını Sıkılaştırın
- Güncelleme yapılana kadar WAF kurallarınızın güncel olduğundan emin olun (örneğin popüler güvenlik duvarı sağlayıcıları ve LiteSpeed kuralları zararlı tarama isteklerini engellemek için kurallar yayınlamıştır).
- Sunucu kaynaklı bellek limitleri ve dosya yükleme boyut (post_max_size, memory_limit) ayarlarını en katı ve güvenli seviyelere çekin.
NovusBT Önerileri ve Aksiyon Planı Kurumsal sunucu altyapılarınızda veri güvenliğini ve hizmet kesintisizliğini sağlamak adına aşağıdaki adımların atılması kritik önem taşımaktadır:
1. Sunucu Seviyesinde Güncelleme: Web uygulamalarınızın güncel olması bu açık için yeterli değildir. Sunucu işletim sisteminiz üzerindeki PHP paketlerinin vakit kaybetmeden yama sürümlerine güncellenmesi gerekir.
2. Eski (EOL) Sürümlerin Taşıması: PHP 8.1 ve adaha eski sürümleri kullanan altyapıların, resmi destek almadıkları için acilen güncel PHP sürümlerine taşınması veya ELS (Extended Lifecycle Support) koruması altına alınması önerilir.
3. Güvenlik Katmanı ve WAF Yapılandırması: Güncelleme süreci tamamlanana kadar Web Uygulama Güvenlik Duvarı (WAF) kurallarının güncellenmesi, anormal POST isteklerinin ve dosya yükleme boyutlarının sınırlandırılması ek bir savunma hattı oluşturacaktır. Novus BT altyapı ve siber güvenlik ekibi olarak, sistemlerinizin analiz edilmesi ve yama yönetim süreçlerinin güvenle tamamlanması konusunda desteğe hazırdır.