ANKARA - BHA
İnternet siteleri ve web uygulamalarında yaygın olarak kullanılan PHP programlama dilinde tespit edilen iki güvenlik açığı, sunucu yöneticileri ve internet sitesi sahipleri için risk oluşturuyor. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlanan açıkların, saldırganların kullanıcı girişi yapmadan savunmasız sistemlerde uzaktan kod çalıştırmasına imkân verebildiği bildirildi.
PHP güvenlik ekibinin açıklamasına göre her iki açık da 10 üzerinden 9,2 kritik önem derecesine sahip. Güvenlik açıklarının kötüye kullanılması durumunda internet sitelerinin çalıştığı sunuculara yetkisiz erişim sağlanması ve sistemlerdeki verilerin tehlikeye girmesi söz konusu olabiliyor.
Güvenlik açıklarına ilişkin teknik bilgilerin, planlanan güncelleme tarihinden önce kamuoyuna yansıması endişeleri artırdı. PHP güvenlik ekibi, açıkları gidermek amacıyla hazırlanan güncellemeleri 21 Ekim 2026 tarihinde kullanıma sundu.
Sorunun PHP yazılımının temel bileşenlerinden kaynaklandığı, belirli bir internet sitesi veya içerik yönetim sistemiyle sınırlı olmadığı belirtildi. Bu nedenle WordPress, Drupal ve Joomla gibi PHP tabanlı sistemlerin savunmasız sürümleri kullanan sunucuları da risk altında bulunuyor.
PHP geliştiricileri, tespit edilen iki güvenlik açığını gidermek amacıyla PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 ve PHP 8.2.35 sürümlerini yayımladı.
Yayımlanan güvenlik duyurusunda, güncellemelerin her iki açığı da giderdiği belirtilerek kullanıcıların desteklenen sürümlere geçmesi istendi. PHP 8.1 ve daha eski sürümlerin ise resmî destek kapsamında bulunmadığı, bu sürümleri kullanan sistemlerin güncel ve desteklenen sürümlere geçirilmesi gerektiği bildirildi.
Türkiye'de hosting hizmeti veren Güzel Hosting'in müşterilerine gönderdiği bilgilendirmede de güvenlik açıklarına karşı alınan önlemlere yer verildi.
Şirket, sorunun kendi altyapısından değil, dünya genelinde kullanılan PHP yazılımından kaynaklandığını belirtti. Bilgilendirmede, güvenlik güncellemeleri yayımlanmadan önce geçici önlem olarak session.upload_progress.enabled ayarının kapatıldığı aktarıldı.
Ancak PHP güvenlik ekibi, geçici yapılandırma değişikliklerinin bütün saldırı yöntemlerini engellemediğini ve güvenlik açıklarının tamamen giderilebilmesi için güncellemelerin uygulanması gerektiğini vurguladı.
Reuters'ın haberine göre güvenlik açıklarının ortaya çıkmasının ardından Avrupa'daki bazı kamu kurumları, okullar ve hastanelere ait internet siteleri önlem amacıyla geçici olarak erişime kapatıldı.
Almanya, Fransa, Hollanda ve Finlandiya'da bazı kamu hizmetlerine ait internet sitelerinde tedbir amaçlı kesintiler yaşandı. Yetkililer, söz konusu adımların olası siber saldırılara karşı alındığını bildirdi.
PHP geliştiricileri, internet sitesi sahipleri ve sistem yöneticilerinin kullandıkları PHP sürümlerini kontrol etmelerini, güvenlik güncellemelerini uygulamalarını ve destek süresi sona ermiş sürümleri güncellemelerini tavsiye ediyor.