PHP'de Kritik Güvenlik Açığı: CVE-2026-109618 ve CVE-2026-109619 Nedir, Ne Yapmalı?

Ne oldu?

PHP projesi 20 Ekim'de kritik bir güvenlik sürümü yayımlayacağını önceden duyurdu ve 21 Ekim 2026'da dört desteklenen sürüm dalı için güncellemeleri yayımladı. Resmî duyuruya göre açıklar PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed dahil web isteklerine yanıt veren tüm PHP kurulumlarını etkiliyor. Risk en yüksek mod_php kullanan sunucularda; burada kimlik doğrulaması gerektirmeyen bir istek, sitenin kendi kodu çalışmaya başlamadan saldırıyı tetikleyebiliyor.

İki açık neyle ilgili?

Teknik ayrıntılar PHP'nin GitHub'daki güvenlik bildirimlerinde yer alıyor. İçerik dağıtım ağı bunny.net, saldırıda kullanılan bilinen istek kalıplarını (çok derin iç içe form alanları ve oturum yükleme ilerlemesi alanı) engelleyen güvenlik duvarı kuralları yayımladığını, ancak bunların güncellemenin yerini tutmadığını belirtti. Yayın tarihi itibarıyla resmî kaynaklarda açıkların yaygın olarak istismar edildiğine dair bir bilgi yer almıyor; buna karşın saldırının çalıştığı gösterildiği için güncelleme gecikmeden yapılmalı.

Hangi sürüme geçmeliyim?

PHP 8.1 ve öncesi PHP projesinden artık güncelleme almıyor. Güvenlik ekibi 7.4, 8.0 ve 8.1 için yalnızca kaynak kod olarak küçük yamalar yayımladı; bazı Linux dağıtımları ve uzun süreli destek sağlayıcıları da kendi yamalı paketlerini sunuyor. En güvenli yol desteklenen bir sürüme geçmektir.

Sitemin PHP sürümünü nasıl öğrenirim?

• Hosting paneli: cPanel'de “PHP Sürümünü Seç” veya “MultiPHP Manager”, Plesk'te alan adının “PHP Ayarları” bölümü kullanılan sürümü gösterir.
• WordPress: Yönetim panelinde Araçlar → Site Sağlığı → Bilgi → Sunucu bölümünde PHP sürümü yazar.
• Sunucu erişimi varsa: Komut satırında php -v sürümü gösterir. Web sunucusunun kullandığı sürüm komut satırındakinden farklı olabilir; PHP-FPM ve Apache modülünü ayrıca kontrol edin.
• Dışarıdan: Bazı sunucular sürümü X-Powered-By: PHP/8.x.y başlığında açığa çıkarır. HTTP başlıkları aracımızla bakabilirsiniz; başlık görünmüyorsa bu, sitenin PHP kullanmadığı anlamına gelmez.

Site sahipleri ne yapmalı?

1. PHP'yi güncelleyin ve PHP-FPM işçilerini veya web sunucusunu yeniden başlatın; ardından çalışan sürümün gerçekten değiştiğini kontrol edin.
2. Paylaşımlı hosting kullanıyorsanız firmanıza güncellemenin yapılıp yapılmadığını sorun; panelde eski bir PHP sürümü seçiliyse güncel sürüme geçin.
3. Güncelleme hemen mümkün değilse: Kullanmıyorsanız session.upload_progress.enabled=0 ayarıyla oturum yükleme ilerlemesini kapatmak ve post_max_size değerini düşürmek, PHP'nin önerdiği kısmi önlemler arasında. PHP, bunların kurulumu güvenli hâle getirmediğini ve tek tam çözümün güncelleme olduğunu vurguluyor.
4. Güvenlik duvarı kullanın: Cloudflare veya benzeri bir hizmet arkasındaysanız yönetilen kural setlerini açık tutun; bu yalnızca ek bir katmandır.
5. Kayıtları inceleyin: Sitenizde beklenmedik dosyalar, yeni yönetici hesapları veya tuhaf yönlendirmeler görürseniz şifreleri değiştirin ve yedekten temiz kurulum yapmayı değerlendirin. Sitenizin dışarıdan erişilebilir olup olmadığını site çalışıyor mu aracıyla kontrol edebilirsiniz.

Ziyaretçiler etkilenir mi?

Bu açıklar ziyaretçilerin bilgisayarlarını değil, PHP çalıştıran sunucuları etkiliyor. Ancak güncellenmemiş bir site ele geçirilirse, sitenin veritabanındaki bilgiler sızabilir veya site ziyaretçilere zararlı içerik göstermek için kullanılabilir. Sık kullandığınız bir sitede tuhaf yönlendirmeler veya beklenmedik indirme istekleri görürseniz işlem yapmayın; sahte giriş sayfalarına karşı dikkat edilmesi gerekenleri oltalama linki nasıl anlaşılır yazımızda anlattık.

Kaynaklar: PHP resmî güvenlik duyurusu (21 Ekim 2026) ve bunny.net. Yeni bilgiler geldikçe güncellenecektir.