TR-26-1372 (PHP Programlama Dili Güvenlik Bildirimi)

Genel Bilgi

Açık kaynaklarda yer alan bilgilere göre, PHP programlama dilini etkileyen iki kritik güvenlik zafiyetinin bulunduğu ve söz konusu zafiyetlerin uzaktan kod çalıştırılmasına (RCE) olanak tanıyabileceği bildirilmektedir. Güvenlik araştırmacıları tarafından “php2shell” olarak adlandırılan zafiyetlere ilişkin ayrıntılar, PHP güvenlik ekibinin yayımladığı resmî güvenlik duyurusuyla açıklanmıştır.

Etki

Zafiyetlerin başarılı şekilde istismar edilmesi durumunda, etkilenen PHP tabanlı uygulamaların çalıştığı sistemlerde yetkisiz kod çalıştırılması ve uygulamanın sahip olduğu yetkiler ölçüsünde sistem kaynaklarına erişim sağlanması riski bulunmaktadır. Bu durumun, uygulama verilerinin gizliliği ve bütünlüğü ile hizmetlerin sürekliliği üzerinde olumsuz etkiler oluşturabileceği değerlendirilmektedir. CVE kodları şu şekildedir:

CVE-2026-109618 ve CVE-2026-109619

Alınması Gereken Önlemler ve Çözüm Önerileri

Kurum ve kuruluşların PHP tabanlı uygulamalarının güvenliğinin sağlanması amacıyla;

• Etkilenen sistemlerin belirlenmesi ve PHP’nin üretici tarafından yayımlanan 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerine (ya da kullanılan Linux dağıtımı/LTS sağlayıcısının yamalı paketlerine) gecikmeksizin yükseltilmesi, ardından PHP-FPM ve web sunucusu süreçlerinin yeniden başlatılması; desteği sona ermiş 8.1 ve öncesi sürümleri kullanan sistemlerin desteklenen bir sürüme taşınması veya sağlayıcının sunduğu yamaların uygulanması,
• Güncellemenin hemen yapılamadığı sistemlerde, yalnızca geçici önlem olarak üretici tarafından önerilen yapılandırma değişikliklerinin (session.upload_progress.enabled=0, PHP 8.5 için fatal_error_backtraces=0, memory_limit=-1 ile birlikte düşük post_max_size değeri) uygulanması,
• Yönetim arayüzlerine ve kritik PHP servislerine yönelik dış erişimlerin güvenlik duvarı (Firewall/ACL) kuralları ile yalnızca güvenilir/yetkili IP adresleriyle sınırlandırılması,
• Yurt dışı erişim ihtiyacı bulunmayan sistemlerin ivedilikle uluslararası trafiğe kapatılması gerekmektedir.

Güvenlik güncellemesi zafiyeti kapatmaktadır; ancak güncelleme öncesinde gerçekleşmiş bir güvenlik ihlalini gidermemektedir. Zafiyet düzeltme yayımlanmadan önce istismar edildiğinden, güncelleme öncesinde şüpheli bir ek veya bağlantı açıldığı değerlendirilen sistemlerde ayrıca inceleme yapılmalıdır.

Kaynaklar

https://www.php.net/archive/2026.php#2026-10-21-5
https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
https://www.php.net/supported-versions.php
https://www.php.net/ChangeLog-8.php
https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/