İki kritik PHP güvenlik açığı milyonlarca web sitesini tehdit ediyor

PHP geliştirme ekibi, CVE-2026-109618 ve CVE-2026-109619 olarak tanımlanan iki güvenlik açığı için acil düzeltmeler hazırladı. Reuters’ın haberine göre her iki açık da CVSS v4.0 ölçeğinde 10 üzerinden 9,2 kritik şiddet puanı aldı. Yamaların 21 Ekim’de TSİ 17.00’de, UTC 14.00’te kullanıma sunulması bekleniyor. WordPress, Drupal, Joomla ve Magento gibi platformların yanı sıra çok sayıda web uygulaması, barındırma sistemi ve yönetim panelinde PHP kullanılması, açıkların potansiyel etkisini genişletiyor.

UZAKTAN KOD RİSKİ 

Avrupa Birliği Bilgisayar Acil Müdahale Ekibi (CERT-EU), açıkların kimlik doğrulaması gerektirmeyen uzaktan kod yürütmeye olanak tanıyabileceği uyarısında bulundu. Saldırganların giriş bilgisi olmadan etkilenen sunucularda kod çalıştırmasının; veri hırsızlığına, site içeriklerinin değiştirilmesine, yetkisiz erişime ve sunucunun tamamen ele geçirilmesine yol açabileceği belirtildi.

CERT-EU, PHP 5’ten günümüze uzanan sürümlerin etkilenebileceğini bildirdi. Ancak savunmasız sürümlerin tam listesi ve teknik ayrıntılar henüz açıklanmadı. Kuruluşlara etkilenen sistemlerini belirleyerek yamaları uygulamaları, düzeltme yapamayanlara ise güvenliği sağlanana kadar ilgili site ve uygulamaları geçici olarak internetten izole etmeleri önerildi.

AKTİF İSTİSMAR BİLDİRİMLERİ 

Cloudflare Teknoloji Direktörü Dane Knecht, ilk saldırı belirtilerini gözlemlediklerini ve Web Uygulama Güvenlik Duvarı (WAF) korumalarını yeni yöntemlere karşı güncellediklerini açıkladı. Knecht, bu önlemlerin geçici olduğunu ve PHP güvenlik güncellemelerinin yerini alamayacağını vurguladı.

Güvenlik şirketi Patchstack de barındırma ortaklarından açıkların aktif olarak istismar edildiğine ilişkin bildirimler aldığını duyurdu.

WORDPRESS GÜNCELLEMESİ YETMEYEBİLİR 

Wordfence, WordPress’in otomatik güncellenmesinin sunucuda çalışan PHP kurulumundaki açıkları her zaman gidermediğine dikkat çekti. Site sahiplerinin, barındırma sağlayıcıları veya sunucu yöneticileri tarafından gerekli PHP düzeltmelerinin uygulandığını kontrol etmesi istendi.

PHP güvenlik ekibi de yamalar yayımlanır yayımlanmaz sistemlerin güncellenmesi çağrısında bulundu. Resmi güvenlik desteği sona ermiş sürümleri kullanan kuruluşların daha yüksek risk taşıdığı belirtilirken, yama uygulanamayan sistemlerin yalıtılması gerektiği vurgulandı.