PHP, İki Kritik RCE Açığı İçin Acil Güvenlik Sürümü Planlıyor

Acil Sürüm Planlandı

PHP, güvenlik ekibinin CVSS v4.0 ölçeğinde 9.2 olarak derecelendirdiği iki kritik açık için 21 Ekim 2026'da 14:00 UTC'de döngü dışı bir güvenlik sürümü yayımlayacak. watchTowr'daki araştırmacılara göre açıklar uzaktan kod çalıştırmaya olanak tanıyor. Şu ana kadar herhangi bir istismar raporlanmadı. Yalnızca 8.2 ile 8.5 arasındaki dört desteklenen PHP dalı düzeltmeyi alabilecek. Detaylar kamuya çıkarsa veya aktif istismara dair kanıt ortaya çıkarsa PHP sürümü daha erken yayımlayabilir.

Sızıntı Erken Bildirimi Tetikledi

20 Ekim'de Hacker News'teki bir gönderi, PHP 5 ve sonrası sürümleri etkileyen CVSS 10.0 olarak derecelendirilen iki PHP uzaktan kod çalıştırma açığının 22 Ekim'de açıklanacağını iddia etti. Gönderiyi yapan hiçbir doğrulanabilir kanıt sunmadı. watchTowr daha sonra sızdırılan bilgilerin gerçek olduğunu ve açıkların embargo altında olduğunu doğruladı. PHP, 20 Ekim'de 19:33 UTC'de ön bildirimini yayımlayarak sürümü, sızıntıda geçen tarihten bir gün önceye, 21 Ekim'e aldı. Sızıntıda iki CVE tanımlayıcısı yer alıyordu: CVE-2026-109618 ve CVE-2026-109619, ancak PHP'nin bildirimi ikisini de adlandırmıyor. PHP 5'ten bu yana her sürümün etkilendiği iddiası resmi bir güvenlik uyarısı ile doğrulanmamış durumda.

Desteklenen Dallar ve Beklenen Sürümler

PHP yalnızca dört desteklenen dalı için düzeltme yayımlar. 8.2 ve 8.3 sürümleri sırasıyla 31 Aralık 2026 ve 31 Aralık 2027 tarihlerine kadar yalnızca güvenlik düzeltmeleri alır. 8.4 ve 8.5 sürümleri sırasıyla 31 Aralık 2026 ve 31 Aralık 2027 tarihlerine kadar aktif destektedir. Alpine Linux ve güvenlik araştırmacısı Kevin Beaumont dahil izleyiciler, düzeltmelerin PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 olarak yayımlanmasını bekliyor, ancak PHP bu numaraları doğrulamadı. 8.1, 8.0, 7.x ve 5.x dahil 8.2'den eski dalların destek ömrü sona ermiştir ve satıcı yaması almayacaklardır.

Yöneticiler İçin Risk Azaltma Rehberi

PHP herhangi bir geçici çözüm yayımlamadı. Yöneticiler, satıcı cihazlarına, Windows yazılımlarına ve cPanel ve Plesk gibi kontrol panellerine gömülü olanlar dahil tüm PHP kurulumlarını envantere almalıdır. 14:00 UTC'de yükseltmeye hazır olun. İnternete bakan sistemleri önce yamalayın; Linux dağıtımlarında ve barındırma sağlayıcılarında geriye taşınmış paketleri kontrol edin. Destek ömrü sona ermiş dallarda yükseltin, sistemi internetten çıkarın veya bir VPN veya web uygulaması güvenlik duvarının arkasına koyun. CERT-EU, bir düzeltme mevcut olana kadar internete bakan uygulamaları herkese açık ağlardan izole etmeyi önerir. php-fpm, php-cgi, httpd veya apache2'nin kabuk, yorumlayıcı veya indirme aracı başlatmasını izleyin. Florian Roth'un süreç izleyicisi, bir PHP sürecinin başlattığı her programı kayda geçer ancak hiçbir şeyi engellemez. Şüpheli etkinlik bulunursa sunucuyu izole edin, kayıtları koruyun ve web kabukları, web kök dizinindeki yeni dosyalar, yeni cron işleri, zamanlanmış görevler ile hesapları arayın. 21 Ekim itibarıyla hiçbir istismar raporlanmadı ve açıklar CISA'ın Known Exploited Vulnerabilities kataloğunda yer almıyor.

Kaynaklar: The Hacker News · Ars Technica · Php.Net