Kritik PHP açıkları: CVE-2026-109618 ve CVE-2026-109619 için güncelleme
PHP çalışma zamanındaki iki açık, kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına yol açabilir. Web isteklerini işleyen tüm PHP kurulumlarını bulun ve düzeltilmiş sürüme ya da üretici yamasına geçin.
Ne oldu?
PHP projesi, 21 Ekim 2026'da iki kritik uzaktan kod çalıştırma açığı için düzeltme yayımladı. CVE-2026-109618, bellek yetersizliği işlenirken oluşan bozulmayla ilgilidir. CVE-2026-109619 ise bir isteğe ait durumun belleği serbest bırakıldıktan sonra da erişilebilir kalmasıyla ilgilidir. Sorunlar PHP çalışma zamanındadır; yalnızca uygulama veya eklenti incelemesi yeterli değildir.
Kimler etkilenebilir?
PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed dahil web isteği işleyen tüm PHP kurulumlarını envantere alın. PHP içeren paketli uygulamaları ve cihazları da kontrol edin. PHP projesi, uygulama kodu çalışmadan önce kimlik doğrulamasız bir istekle saldırının tetiklenebildiği mod_php kurulumlarını en yüksek riskli ortam olarak değerlendiriyor.
Şimdi ne yapmalı?
Desteklenen dalları PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümüne güncelleyin; alternatif olarak düzeltmeleri içeren üretici paketini kurun. PHP 8.1 ve daha eski sürümler projenin düzenli desteği dışındadır. Dağıtım ya da ürün sağlayıcınızın bakımını yaptığı yamayı doğrulayın veya yükseltme planlayın. Dağıtımdan sonra yalnızca ana makinedeki paketi değil, her web hizmeti ve kapsayıcının gerçekten çalıştırdığı PHP sürümünü denetleyin.
PHP projesi, 23 Ekim'deki ek açıklamasında ayrı ve nadir bir yol için bir sonraki olağan hata düzeltme sürümüne kadar session.upload_progress.enabled=0 ayarını önerdi. Bu önlem güvenlik güncellemesinin yerini tutmaz.
