PHP geliştirme ekibi, uzaktan kod yürütme riski taşıdığı belirtilen iki güvenlik açığı için acil güncelleme hazırlıyor. Her iki açık da CVSS v4.0 sisteminde 10 üzerinden 9,2 puan aldı. Teknik ayrıntılar henüz açıklanmazken, sistem yöneticilerinden yamalar yayımlandığında güncellemeye hazır olmaları istendi.
Yamalar için 21 Ekim tarihi verildi
PHP güvenlik ekibinin 20 Ekim’de yayımladığı duyuruya göre düzeltmeleri içeren güncellemelerin 21 Ekim 2026 Çarşamba günü saat 14.00 UTC’de, Türkiye saatiyle 17.00’de yayımlanması planlanıyor. Açıklarda hangi PHP sürümlerinin etkilendiği ve teknik detaylar henüz paylaşılmadı. Bu bilgilerin güncellemelerle birlikte duyurulması bekleniyor.
Ekip, ayrıntıların kamuoyuna sızması ya da açıkların saldırılarda kullanıldığına ilişkin kanıt ortaya çıkması durumunda yamaların planlanandan önce yayımlanabileceğini belirtti. Yöneticilere duyuruları izlemeleri ve düzeltmeleri en kısa sürede yüklemeye hazırlanmaları çağrısı yapıldı.
PHP2Shell iddiası ve etkilendiği öne sürülen sürümler
Güvenlik araştırmacılarının açıklamalarında CVE-2026-109618 ve CVE-2026-109619 numaralarıyla izlenen açıkların uzaktan kod yürütmeye (RCE) yol açabileceği öne sürülüyor. Bu tür bir güvenlik sorunu, saldırganların hedef sistemlerde uzaktan kod veya komut çalıştırmasına imkân tanıyabilir.
Güvenlik şirketi watchTowr, açıkların gerçek olduğunu doğruladığını ve en az birini yeniden oluşturabildiğini bildirdi. Şirket, PHP 5, 6, 7 ve 8 sürümlerinin etkileniyor olabileceğini belirtti; ancak bu kapsam PHP ekibi tarafından henüz doğrulanmadı.
PHP2Shell adlı bir istismar aracını gösterdiği ileri sürülen video da endişeleri artırdı. Görüntülerde PHP tabanlı çeşitli uygulamaları çalıştıran sunucularda kod yürütülebildiği iddia ediliyor. Örnekler arasında WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0 ve 8.83.29, Symfony 8.1.9, Drupal 11.4.10 ile WHMCS 9.0.9 yer alıyor.
Uzmanlardan saldırı ve hazırlık uyarısı
Teknik bilgilerin planlanan açıklama tarihinden önce sızdırıldığı bildirildi. watchTowr, açıkların ayrıntılarını yamalar yayımlanana kadar paylaşmayacağını açıkladı. Şirket ayrıca şu ana kadar açıkların aktif saldırılarda kullanıldığına dair bir bulguya rastlamadığını belirtti; dolayısıyla saldırıların başladığına ilişkin doğrulanmış bilgi bulunmuyor.
Sansec, yamaların yayımlanmasının ardından kitlesel saldırıların 15 dakika içinde başlayabileceğini öngörüyor. Webfence ve Huntress da sistem yöneticilerini hazırlık yapmaları konusunda uyardı. Şiddet puanlamasında ise farklılık var: watchTowr açıkları CVSS ölçeğinde 10 üzerinden 10 olarak değerlendirirken PHP ekibinin resmi puanı her iki açık için 9,2.
Güvenlik uzmanları, kurumların öncelikle PHP altyapısından sorumlu ekipleri belirlemesini ve PHP ile geliştirilmiş uygulamaların envanterini çıkarmasını öneriyor. Bazı uzmanlar, yamalar yüklenene kadar zorunlu olmayan sistemlerin ağ bağlantısının kesilmesini de tavsiye ediyor. Bu öneri özellikle dışarıdan erişilebilen ve kritik iş yükleri barındıran sunucuları kapsıyor.
Yaklaşık 1,3 milyon sunucu etkilenebilir
Açık kaynaklı PHP; dinamik internet siteleri ve web uygulamalarının geliştirilmesinde kullanılıyor. WordPress gibi içerik yönetim sistemlerinin yanı sıra e-ticaret platformlarında, kurumsal uygulamalarda ve özel web hizmetlerinde de yaygın. Bir güvenlik araştırmacısı, internete bağlı yaklaşık 1,3 milyon sunucunun açıklardan etkilenme ihtimali bulunduğunu öne sürdü.
