PHP, İki Kritik RCE Açığı İçin Acil Güvenlik Güncellemesi Yayımlayacak

PHP, iki kritik uzaktan kod çalıştırma (RCE) açığı için 21 Ekim 2026 tarihinde saat 14.00 UTC'de, normal yayın takviminin dışında bir güvenlik güncellemesi yayımlamaya hazırlanıyor. PHP güvenlik ekibi, açıkları CVSS v4.0 ölçeğinde 9.2 puanla derecelendirdi. Ancak güvenlik açıklarının teknik detayları henüz paylaşılmadı.

Güvenlik araştırmacıları, iki açığın da uzaktan kod çalıştırılmasına olanak tanıdığını belirtiyor. watchTowr araştırmacılarının aktardığı bilgilere göre düzeltmeler yalnızca PHP'nin desteklenen 8.2, 8.3, 8.4 ve 8.5 sürüm dalları için yayımlanabilecek. Şu ana kadar açıkların aktif olarak istismar edildiğine ilişkin bir bildirim bulunmuyor.

Güvenlik Açıkları Hakkındaki Bilgiler Sızdırıldı

PHP'nin olağan dışı güvenlik duyurusu, açıklarla ilgili bilgilerin internete sızmasının ardından geldi.

20 Ekim'de Hacker News'te yayımlanan bir gönderide, PHP 5 ve sonraki sürümleri etkilediği öne sürülen iki uzaktan kod çalıştırma açığının 22 Ekim Perşembe günü açıklanacağı iddia edildi. Gönderide açıkların CVSS puanı 10.0 olarak belirtilirken, iddiaları destekleyen somut bir kanıt sunulmadı. Paylaşımı yapan kişi, elindeki bilgilerin kaynağını esprili bir ifadeyle “source: trust me, bro” şeklinde tanımladı.

watchTowr daha sonra X üzerinden yaptığı açıklamada sızdırılan bilgilerin gerçek olduğunu doğruladı. Şirket, iki güvenlik açığının açıklanmamak üzere ambargo altında tutulduğunu ve ayrıntıların başlangıçta 22 Ekim'e kadar gizli kalmasının planlandığını belirtti. Araştırmacılar, o aşamada daha fazla bilgi paylaşamayacaklarını da ifade etti.

PHP'nin resmî güvenlik duyurusu aynı akşam, 19.33 UTC'de yayımlandı. Ancak duyuruda güncelleme tarihi 22 Ekim yerine 21 Ekim olarak açıklandı.

PHP, güvenlik açığına ilişkin ayrıntıların kamuya sızması veya gerçek dünyada aktif istismara dair kanıtların ortaya çıkması durumunda güncellemeyi planlanandan önce yayımlayabileceğini de belirtti.

CVE Numaraları ve Etkilenen Sürümler Henüz Doğrulanmadı

Sızdırılan gönderide CVE-2026-109618 ve CVE-2026-109619 tanımlayıcılarına da yer verildi. Bununla birlikte PHP'nin resmî duyurusu bu CVE numaralarını veya güvenlik açıklarının teknik ayrıntılarını henüz doğrulamıyor.

Burada önemli bir ayrım bulunuyor: CVSS 10.0 puanı sızdırılan gönderide yer alırken, PHP'nin resmî olarak açıkladığı puan CVSS v4.0 ölçeğinde 9.2.

Aynı şekilde, açıkların PHP 5'ten itibaren yayımlanan tüm sürümleri etkilediği iddiası da henüz doğrulanmış değil. watchTowr'ın konuya ilişkin SSS sayfasında, etkilenen sürüm aralığının resmî bir üretici duyurusuyla henüz doğrulanmadığı belirtiliyor. Açıkların hangi yapılandırmalarda veya hangi özellikler etkin olduğunda ortaya çıktığı da bilinmiyor.

PHP, resmî duyurusunda şu açıklamayı yaptı:

“Full details, affected versions, and the fixed versions will be published with the release.”

Buna göre etkilenen sürümler, teknik ayrıntılar ve düzeltme içeren sürümlerin listesi, güvenlik güncellemesiyle birlikte yayımlanacak.

Araştırmacılar iki açığı şimdiden php2shell adıyla anmaya başladı. Ancak bu isim PHP projesinin resmî olarak kullandığı bir ad değil.

Desteklenmeyen PHP Sürümleri Risk Altında Olabilir

Açıkların hangi sürümleri etkilediği kesinleşmemiş olsa da PHP'nin destek politikası, eski sürümleri kullanan sistemler açısından önemli bir risk oluşturuyor.

PHP yalnızca desteklenen sürüm dalları için güvenlik düzeltmeleri yayımlıyor. Mevcut durumda 8.2 ve 8.3 sürümleri yalnızca güvenlik güncellemeleri alırken, 8.4 ve 8.5 sürümleri aktif destek kapsamında bulunuyor.

PHP 8.1, 8.0, 7.x ve 5.x sürümleri ise kullanım ömrünün sonuna (EOL) ulaşmış durumda. Bu sürümler için PHP projesi tarafından yeni güvenlik yamaları yayımlanmıyor.

Dolayısıyla, söz konusu açıkların eski sürümleri de etkilediği doğrulanırsa bu sistemler için resmî bir PHP düzeltmesi sunulmayabilir. Bu durum, güncel olmayan PHP sürümlerini kullanan sunucular ve uygulamalar açısından ciddi bir güvenlik riski anlamına geliyor.

PHP branches that can receive today's fix

Sistem Yöneticileri Ne Yapmalı?

Güncelleme yayımlanana kadar sistem yöneticilerinin PHP'nin resmî güvenlik duyurularını ve sürüm notlarını takip etmesi gerekiyor. Yama yayımlandığında kullanılan PHP dalının etkilenip etkilenmediği doğrulanmalı ve ilgili düzeltme mümkün olan en kısa sürede uygulanmalı.

Özellikle kullanım ömrü sona ermiş PHP sürümlerini çalıştıran sistemlerde, yalnızca yeni bir güvenlik yaması beklemek yeterli olmayabilir. Desteklenen bir PHP sürümüne geçiş planlanması, uzun vadeli güvenlik açısından kritik önem taşıyor.

Not: Güvenlik açıklarının teknik ayrıntıları, kesin etkilenen sürümler ve CVE kayıtlarının resmî doğrulaması, PHP'nin güncelleme duyurusuyla birlikte netleşecek.