SİBER GÜVENLİK· 1 dk okuma
PHP2Shell yamasından sonra yeni bir PHP açığı daha çıktı
PHP projesi 21 Ekim'de CVE-2026-109618 ve CVE-2026-109619 numaralı iki kritik uzaktan kod çalıştırma açığını 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleriyle kapattı. Kanada Siber Güvenlik Merkezi 23 Ekim'de, bu yamaların kapatmadığı üçüncü bir açığı, CVE-2026-115560'ı da uyardı.
// kısaca
- Amazon, açıklamadan dört gün önce, 17 Ekim'de bal küpü sistemi MadPot'ta bir sömürü denemesi kaydetti; saldıran taraf belli değil.
- Etkilenenler: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed; en riskli yapılandırma mod_php.
- CVE-2026-115560 için düzeltme henüz yok; yalnızca alışılmadık bir yapılandırma ve uygulama davranışında sömürülebiliyor, geçici önlem session.upload_progress.enabled=0.
- PHP 8.1 ve eskisi artık resmi güncelleme almıyor.
PHP ekibi 21 Ekim'de web isteklerine hizmet veren tüm PHP kurulumlarını etkileyen iki kritik açığı duyurdu. Açıklardan biri bellek yetersizliği sonrası bozulma, diğeri eski global durum yüzünden kod çalıştırmaya izin veriyor; her ikisi de kimlik doğrulama gerektirmiyor ve mod_php kurulumlarında istek uygulama koduna varmadan tetiklenebiliyor. Her iki açığın CVSS 4.0 puanı 9.2.
Kanada Siber Güvenlik Merkezi uyarısını 23 Ekim'de güncelledi: CVE-2026-115560 adlı ayrı bir uzaktan kod çalıştırma açığı bu yamalarla kapanmıyor. Sömürmek için nadir görülen bir yapılandırma ve uygulama davranışı gerekiyor; çalışma anında serileştirme işleyicisini değiştirmeyen uygulamalar etkilenmiyor. Kurumun notuna göre kamuya açık bir kanıt kodu var.
Ne yapmalı?
PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümüne geçin; internete açık sistemlerden başlayın. 8.1 ve eskisini kullanıyorsanız dağıtımınızın ya da LTS sağlayıcınızın geri taşınmış yamasını arayın. CVE-2026-115560 için düzeltme çıkana kadar session.upload_progress.enabled=0 ayarını yapın ve PHP içeren üçüncü taraf ürünleri, konteynerleri envanterleyin.
// kaynaklar
- Security advisory: Critical remote code execution vulnerabilities, update now · PHP.net ↗
- PHP2Shell: PHP vulnerabilities patched (CVE-2026-109618, CVE-2026-109619) · Help Net Security ↗
- Alert AL26-026 - Critical vulnerabilities impacting PHP · Canadian Centre for Cyber Security ↗
Bu haber yukarıdaki kaynaklardan derlenmiş kısa bir özettir. Ayrıntı ve güncellemeler için kaynaklara bak.