PHP’de Kritik Güvenlik Alarmı: CVE-2026-109618 ve CVE-2026-109619 İçin Acil Güncelleme!

PHP’de Kritik Güvenlik Açığı: CVE-2026-109618 ve CVE-2026-109619 İçin Güncelleme Yayınlandı!

PHP geliştirici ekibi, PHP tabanlı web sunucularını etkileyebilen iki kritik güvenlik açığı için güvenlik güncellemesi yayınladı. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen açıklar, belirli koşullarda kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına yol açabiliyor. PHP kullanan sistemlerin güncel sürümlere geçirilmesi tavsiye ediliyor.
PHP ekibi, 21 Ekim 2026 tarihinde iki kritik güvenlik açığını gidermek amacıyla yeni PHP sürümlerini kullanıma sundu.
Güvenlik açıkları CVE-2026-109618 ve CVE-2026-109619 olarak kayıt altına alındı. PHP'nin resmi açıklamasına göre söz konusu açıklar, savunmasız sistemlerde kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına imkân verebilecek nitelikte.
PHP tarafından yapılan ön duyuruda her iki güvenlik açığı da CVSS v4.0 ölçeğinde 9.2 puanla kritik seviyede değerlendirilmişti.

PHP güvenlik açığı hangi sürümleri etkiliyor?

PHP geliştirici ekibi güvenlik açıklarını gidermek için dört güncel sürüm yayınladı.
Güncellenmesi önerilen PHP sürümleri şöyle:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

PHP 8.5, 8.4, 8.3 ve 8.2 serilerini kullanan sistem yöneticilerinin ilgili güvenlik sürümüne geçmesi öneriliyor.
PHP'nin resmi duyurusunda geçici önlemlerin tam koruma sağlamadığı ve güncellemenin güvenli çözüm olduğu özellikle belirtiliyor.

CVE-2026-109618 ve CVE-2026-109619 nedir?

CVE-2026-109618 ve CVE-2026-109619, PHP çalışma ortamında ortaya çıkan ve belirli koşullarda uzaktan kod çalıştırma riskine neden olabilen iki güvenlik açığıdır.
Uzaktan kod çalıştırma veya teknik adıyla Remote Code Execution (RCE), güvenlik açısından önemli bir risk sınıfıdır. Başarılı şekilde istismar edilebilen bir RCE açığı, saldırganın savunmasız sistem üzerinde yetkileri dahilinde istenmeyen kod çalıştırabilmesine neden olabilir.
Ancak bu durum, PHP kullanan her internet sitesinin otomatik olarak ele geçirilebileceği anlamına gelmiyor.
Bir sistemin fiilen risk altında olup olmadığı; kullanılan PHP sürümü, sunucu yapılandırması, PHP'nin web sunucusuyla çalışma şekli ve uygulanan güvenlik güncellemeleri gibi faktörlere bağlı.

Hangi PHP sistemleri risk altında?

PHP'nin resmi güvenlik açıklamasına göre web üzerinden istek alan PHP kurulumlarının güncelleme açısından değerlendirilmesi gerekiyor.
Bunlar arasında:

• PHP-FPM
• Apache mod_php
• php-cgi
• FrankenPHP
• LiteSpeed

kullanan ortamlar bulunuyor.
PHP ekibi, riskin özellikle Apache ile mod_php kullanılan sistemlerde daha yüksek değerlendirildiğini belirtiyor. Resmi açıklamada, mod_php üzerinde uygulama kodu çalışmaya başlamadan önce saldırının tetiklenebildiği bir senaryonun gösterildiği ifade ediliyor.

WordPress ve PHP tabanlı siteler etkileniyor mu?

WordPress, Laravel veya diğer PHP tabanlı uygulamalar açısından burada önemli bir ayrım bulunuyor.
Söz konusu güvenlik açıkları doğrudan WordPress veya Laravel'e ait bir güvenlik açığı olarak duyurulmadı. Açıklar PHP çalışma ortamıyla ilgili.
Bu nedenle yalnızca “WordPress kullanıyorum” veya “Laravel kullanıyorum” bilgisine bakılarak bir sistemin savunmasız olduğu sonucuna varmak doğru olmaz.
Sunucunun kullandığı PHP sürümünün kontrol edilmesi gerekiyor.
Örneğin güncel olmayan bir PHP sürümü üzerinde çalışan bir web uygulamasının sunucu yöneticisi veya hosting sağlayıcısı tarafından değerlendirilmesi ve gerekli güncellemelerin uygulanması önem taşıyor.

ENISA'dan kuruluşlara güncelleme çağrısı!

Konu Avrupa Birliği Siber Güvenlik Ajansı ENISA tarafından da duyuruldu.
ENISA; Avrupa Komisyonu, CERT-EU, Europol EC3 ve Avrupa'daki ulusal siber olay müdahale ekiplerinin oluşturduğu CSIRTs Network ile birlikte kuruluşlara iki kritik PHP güvenlik açığına karşı gerekli önlemleri almaları çağrısında bulundu.
Yapılan açıklamada özellikle internete açık PHP sistemlerine öncelik verilmesi, PHP tabanlı uygulamaların belirlenmesi ve hosting veya hizmet sağlayıcılarla koordineli şekilde güvenlik güncellemelerinin uygulanması tavsiye edildi.

PHP kullanan site sahipleri ne yapmalı?

PHP tabanlı bir web sitesi veya sunucu yönetenlerin öncelikle kullandıkları PHP sürümünü kontrol etmeleri öneriliyor.
Güvenlik açısından uygulanabilecek temel adımlar şöyle:

• Sunucuda kullanılan PHP sürümünü kontrol edin.
• PHP'nin güncel güvenlik sürümünün kurulu olup olmadığını doğrulayın.
• Hosting hizmeti kullanıyorsanız sağlayıcınızın güvenlik duyurularını kontrol edin.
• İnternete doğrudan açık sistemlere güncelleme konusunda öncelik verin.
• Güncelleme sonrasında web uygulamalarının düzgün çalıştığını test edin.
• Eski ve destek dışı PHP sürümlerinden desteklenen sürümlere geçiş planlayın.

Paylaşımlı hosting kullanan site sahipleri, PHP güncellemelerini doğrudan kendileri yapamıyorsa hosting firmasından sistemlerinde hangi PHP güvenlik sürümünün kullanıldığını öğrenebilir.

PHP 8.2 için destek süresine dikkat!

PHP'nin resmi açıklamasına göre PHP 8.2 serisinin güvenlik desteği 31 Aralık 2026 tarihinde sona erecek.
Bu nedenle PHP 8.2.35 güvenlik güncellemesini uygulamak mevcut açıkların giderilmesi açısından önemli olmakla birlikte, PHP 8.2 kullanan sistemler için daha yeni ve desteklenen PHP sürümlerine geçiş planının da oluşturulması gerekiyor.

PHP güvenlik güncellemesi neden önemli?

PHP dünya genelinde web uygulamalarında yaygın şekilde kullanılan bir programlama dili.
Bu nedenle PHP'nin çalışma ortamını etkileyen kritik seviyedeki güvenlik açıkları yalnızca yazılım geliştiricileri açısından değil; sistem yöneticileri, hosting sağlayıcıları ve web sitesi sahipleri açısından da önem taşıyor.
Burada dikkat edilmesi gereken nokta paniğe kapılmak yerine sistemin güncel olup olmadığını kontrol etmek.
PHP geliştirici ekibi tarafından güvenlik yamalarının yayınlanmış olması sayesinde sistem yöneticileri gerekli güncellemeleri uygulayarak söz konusu güvenlik açıklarına karşı sistemlerini koruyabiliyor.

PHP sürümünüzü kontrol edin!

CVE-2026-109618 ve CVE-2026-109619, PHP ekibi tarafından kritik seviyede değerlendirilen iki güvenlik açığı.
PHP tarafından yayınlanan 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri söz konusu güvenlik problemlerine yönelik düzeltmeleri içeriyor.
PHP tabanlı internet sitelerinin sahiplerinin, geliştiricilerin ve sistem yöneticilerinin kullanılan PHP sürümünü kontrol etmesi ve gerekli güvenlik güncellemelerini uygulaması öneriliyor.
Bir web sitesinin PHP kullanması tek başına sistemin saldırıya uğradığı veya kesin olarak savunmasız olduğu anlamına gelmez. Önemli olan kullanılan PHP sürümünün ve sunucu yapılandırmasının kontrol edilerek güncel güvenlik yamalarının uygulanmasıdır.

Sık Sorulan Sorular?

PHP'de yeni bir güvenlik açığı mı bulundu?

Evet. PHP ekibi CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen iki kritik güvenlik açığı için 21 Ekim 2026 tarihinde güvenlik güncellemeleri yayınladı.

PHP güvenlik açıklarının önem derecesi nedir?

PHP'nin açıklamasına göre iki açık da CVSS v4.0 ölçeğinde 9.2 puanla kritik seviyede değerlendiriliyor.

Hangi PHP sürümüne güncelleme yapılmalı?

Kullanılan PHP serisine göre PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 veya PHP 8.2.35 sürümlerine geçilmesi gerekiyor.

WordPress siteleri etkileniyor mu?

Güvenlik açıkları doğrudan WordPress'e ait değil, PHP çalışma ortamını ilgilendiriyor. Bir WordPress sitesinin durumunu belirlemek için sunucuda kullanılan PHP sürümü ve yapılandırmasının kontrol edilmesi gerekiyor.

PHP kullanan her site tehlikede mi?

Hayır. Bir sitenin PHP kullanması tek başına savunmasız olduğu anlamına gelmez. Kullanılan PHP sürümü, sunucu yapılandırması ve güvenlik güncellemelerinin uygulanıp uygulanmadığı belirleyicidir.