PHP'nin Kalbinde İki Kritik Delik
21 Ekim 2026'da PHP ekibi, çekirdek PHP yorumlayıcısında iki kritik uzaktan kod çalıştırma açığı için acil yamalar yayımladı. "php2shell" olarak anılan bu çift açık — CVE-2026-109618 ve CVE-2026-109619 — CVSS v4.0 ile 9.2 (bazı kaynaklarda 9.8) olarak puanlandı.
Asıl endişe verici olan, Amazon Threat Intelligence'ın açıklarla ilgili ilk istismar girişimini 17 Ekim'de, yani yamadan 4 gün önce tespit etmiş olması. Detaylar kamuoyuna sızdı, saldırganlar hazır bekliyordu.
Neden Bu Kadar Kritik?
PHP, web sunucularının yaklaşık %77'sinde çalışıyor. Bu açıklar soyut tehditler değil — doğrudan WordPress, Laravel, Symfony, Drupal, Joomla ve bunların üzerine kurulu her uygulama etkileniyor. Başarılı bir istismar web shell yerleştirmeye, veri çalmaya veya sunucu tam kontrolünü ele geçirmeye olanak tanıyor.
- CVE-2026-109618: PHP'nin dahili stream wrapper işlemesinde heap buffer overflow → RCE
- CVE-2026-109619: CGI/FastCGI modunda özel hazırlanmış HTTP isteğiyle argüman enjeksiyonu → RCE
Etkilenen Ortamlar
| Ortam | Risk |
|---|---|
| Apache + mod_php | CVE-2026-109618 risk altında |
| Nginx + PHP-FPM | CVE-2026-109618 risk altında |
| Apache CGI modu | Her iki açık da geçerli — en yüksek risk |
| Windows IIS + PHP | CVE-2026-109619 risk altında |
| PHP CLI (komut satırı) | Düşük risk (yerel erişim gerekir) |
Sabit Sürümler
- PHP 8.3.14 ve üzeri
- PHP 8.2.26 ve üzeri
- PHP 8.1.31 ve üzeri (8.1 artık resmi destek dışı — mümkünse 8.2/8.3'e geçin)
- PHP 8.0 ve altı: resmi yama yok, geçiş zorunlu
Hemen Yapılması Gerekenler
php -vile mevcut sürümü kontrol edin.- Paket yöneticiniz üzerinden (apt/yum/brew) PHP'yi güncelleyin.
- Apache CGI modunu kullanıyorsanız ve hemen yükseltme mümkün değilse, CGI'yi devre dışı bırakıp PHP-FPM'e geçin — bu CVE-2026-109619 riskini ortadan kaldırır.
- WAF kullananlar: Cloudflare, AWS WAF ve Palo Alto'nun FortiGuard Labs yeni imzaları yayımladı; güncel olduğunu doğrulayın.
- WordPress siteleri: PHP güncellemesinin yanı sıra sunucu katmanında değişiklik gerekiyor — sadece WordPress güncellemesi yetmez.