Teknoloji sektöründe KOBİ veya serbest meslek sahibi olmanıza neden önem vermelisiniz?
Çevrimiçi işletmeniz, e-ticaret mağazanız veya kurumsal web siteniz PHP (Hypertext Preprocessor) kullanıyorsa bundan sonra olacaklar sizi acilen ilgilendiriyor. PHP, web geliştirmede en çok kullanılan programlama dilidir ve İnternet'teki sitelerin yaklaşık %70'inde mevcuttur (apnews.com). CVSS (Ortak Güvenlik Açığı Puanlama Sistemi) v4.0 ölçeğinde 9,2 puan alarak son derece ciddi iki kusur tespit edildi ve bu da onları "kritik" kategoriye yerleştirdi (gub.uy).
Bu hatalar temel PHP çekirdek işlevlerini etkiler ve saldırganların kimlik doğrulaması olmadan uzaktan kod çalıştırmasına olanak tanır. Uygulamada, siz zamanında fark etmeden sunucularınıza erişebilir veya içeriğinizi değiştirebilirler. Bu nedenle PHP Vakfı yamaların derhal uygulanması çağrısında bulundu (apnews.com).
Arızaların bağlamı ve teknik ayrıntıları
Resmî duyuru 20 Ekim 2026’da yapıldı. PHP güvenlik ekibi, takip eden salı günü —21 Ekim saat 14.00 UTC’de— CVE‑2026‑109618 ve CVE‑2026‑109619 olarak tanımlanan açıkları gidermek için acil bir güncelleme yayımlanacağını bildirdi (discourse.thephp.foundation). Her iki başarısızlık da CVSS v4.0 ölçeğinde 10 üzerinden 9,2 olarak derecelendirildi (tenable.com)
CVE-2026-109618 (OOM Bozulması): PHP'nin yetersiz bellek hatalarını nasıl ele aldığını kullanır. Daha sonra yapılan temizleme, eksik verileri geçerli olarak yorumlayabilir, bu da belleğin bozulmasına ve kötü amaçlı kod yürütülmesine neden olabilir (tenable.com).
CVE-2026-109619 (Eski Küresel Durum): Bu, ücretsiz bir kullanım sonrasıdır. Önceki bir istekteki küresel durumun kalıntıları, bir çalışan tarafından sonraki bir istekte kötü amaçlı kod yürütmek için yeniden kullanılabilir (zaproxy.org).
Bu güvenlik açıkları web isteklerine hizmet eden tüm kurulumları etkiler: PHP-FPM, mod_php ile Apache, php-cgi, FrankenPHP, LiteSpeed, vb. (tenable.com). Paketin resmi olmayan adı PHP2Shell'dir (es.wikipedia.org).
Küçük işletmeler ve serbest meslek sahipleri için pratik çıkarımlar
Bu tür kusurlardan yararlanılması, saldırganların kimlik bilgileri gerektirmeden sunucularınızda kod yürütmesine olanak tanır. Bu, arka kapı yerleştirebilecekleri, kötü amaçlı yazılım yükleyebilecekleri, web sitenizi değiştirebilecekleri veya bilgileri çalabilecekleri anlamına gelir. Sorunun boyutu oldukça geniş: standart portallardan WordPress, Drupal, PrestaShop veya Moodle'a kadar pek çok web sitesi etkilenmiş olabilir gub.uy
CISA (ABD siber güvenlik kurumu) gibi kuruluşlar bu güvenlik açıklarını düzeltmek için acil uyarılar başlattı veya bu mümkün değilse, çözüm uygulanana kadar etkilenen sistemleri izole etti (content.govdelivery.com). Avrupa'da ve diğer ülkelerde çeşitli ulusal CERT'ler benzer bildirimler yayınladı elpais.com
Web sitenizi korumak için önerilen adımlar
Riskleri en aza indirmek ve güvenliği yeniden sağlamak için aşağıdaki adımları uygulamanızı öneririz:
- PHP kullanan sistemleri belirleyin: güvenlik açığı bulunan PHP'yi çalıştırıyor olabilecek sunucuları, barındırmaları ve bileşenleri kontrol edin content.govdelivery.com
- Yamalı sürümlere güncelleme: hataları düzelten sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35'tir (content.govdelivery.com).
- Hemen güncelleme yapamıyorsanız: İnternet erişimini geçici olarak kısıtlayın, web uygulaması güvenlik duvarlarını (WAF'ler) veya özel ağları kullanın ve şüpheli işlemleri izleyin
- content.govdelivery.com
- Güncellemeden sonra hizmetleri yeniden başlatın: PHP‑FPM, Apache vb.'yi yeniden başlattığınızdan emin olun, aksi takdirde eski ikili dosyalar reddit.com'u çalıştırmaya devam edebilir.
- Beklenmedik kabuklar, yetkisiz indirmeler, dosya değişiklikleri veya garip davranışlar gibi olası istismar göstergelerini izleyin content.govdelivery.com
Sonuç
PHP'deki bu iki kritik kusur (CVE-2026-109618 ve CVE-2026-109619) açığa çıkan herhangi bir web sitesi için gerçek bir tehdit oluşturur. 21 Ekim 2026'dan itibaren mevcut olan resmi yamaları uygulamak, dijital etkinliğinizin sürekliliğini garanti altına almak için bir öncelik olmalıdır. CADT Software olarak ortamınızı incelemenize, güncellemeleri uygulamanıza ve web uygulamalarınızın güvenliğini güçlendirmenize yardımcı olabiliriz. Düzeltme eki uygulanmamış bir güvenlik açığının projenizi tehlikeye atmasına izin vermeyin ve etkili ve hızlı bir şekilde harekete geçmek için bizimle iletişime geçin.
