Güncel durum: güvenlik yamaları yayımlandı
22 Ekim 2026 itibarıyla doğrulanan durum şu: PHP, uzaktan kod çalıştırmaya yol açabilen iki kritik açık için 21 Ekim’de güncellemeler yayımladı. Hosting firmanızdan gelen duyuruda henüz yama olmadığı yazıyorsa bu bilgi artık güncel değil. Öncelik, sitenizi çalıştıran PHP paketinin iki düzeltmeyi de içerdiğini doğrulamak.
RCE, saldırganın sunucuda uzaktan kod çalıştırabilmesi anlamına gelir. Konuyu acil bakım işi olarak ele alın. Ancak bir güvenlik açığı duyurusu, sitenizin ele geçirildiğinin tek başına kanıtı değildir.
Hangi PHP sürümleri güncellenmeli?
Aşağıdaki tablo, iki düzeltmeyi de içeren ilk resmi PHP sürümlerini gösteriyor. Uygulamanızla uyumluluğu kontrol ederek ilgili yamalı sürüme veya desteklenen daha yeni bir güvenlik sürümüne geçin.
Linux dağıtımları, temel sürüm numarasını değiştirmeden güvenlik yaması ekleyebilir. Örneğin Ubuntu 24.04 için düzeltme içeren paket 8.3.6-0ubuntu0.24.04.13 olarak listeleniyor. Bu yüzden kısa PHP sürüm numarasıyla karar vermeyin; tam paket sürümünü sağlayıcının güvenlik duyurusuyla karşılaştırın.
| PHP sürüm ailesi | İlk yamalı resmi sürüm |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
İki güvenlik açığı neyi etkiliyor?
CVE-2026-109618, bellek yetersizliği işlenirken oluşabilen bellek bozulmasıyla ilgili. CVE-2026-109619 ise istekler arasında kalan geçersiz iç durumun yeniden kullanılmasıyla ilgili. İkisi de resmi duyurularda açıklanan koşullarda, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya yol açabiliyor.
PHP, Apache mod_php ve PHP-FPM dahil web isteği işleyen tüm kurulumların güncellenmesini istiyor. Açığın kullanılabilmesi için gereken koşullar çalışma ortamına, uygulamaya ve yapılandırmaya göre değişiyor. “PHP kullanan bütün sunucular ele geçirildi” sonucu bu duyurulardan çıkarılamaz.
Upload progress ayarını kapatmak yeterli mi?
Hayır. session.upload_progress.enabled = Off ayarı, CVE-2026-109619 için doğrulanmış bazı oturum yollarını engelliyor. Diğer yolları veya CVE-2026-109618 açığını kapatmıyor. Yamalı PHP paketine geçmek yine gerekli.
Sunucu yöneticiniz bu geçici önlemi uyguluyorsa ayarın, istek ayrıştırılmadan önce php.ini, FPM havuzu veya sunucu yapılandırması üzerinden geçerli olması ve tüm çalışan süreçlerin yeniden başlatılması gerekiyor. PHP, ini_set() veya FPM .user.ini dosyasına güvenilmemesi gerektiğini özellikle belirtiyor. Asıl paket güncellemesini kimin, ne zaman tamamlayacağını da netleştirin.
WordPress ve eski PHP sürümleri için durum ne?
Sorun bir WordPress eklentisinde değil, PHP’nin kendisinde. WordPress, tema veya eklenti güncellemesi PHP yamasının yerine geçmiyor. WordPress’in kendi duyurusu da hosting sağlayıcısıyla görüşülmesini öneriyor. Yönetim panelindeki Site Sağlığı ekranının Bilgi ve Sunucu bölümünden sitenin kullandığı PHP sürümünü görebilirsiniz.
PHP 8.1 ve önceki sürümler PHP projesinin normal destek kapsamı dışında. Sağlayıcınız bu sürümlere özel güvenlik yaması sunuyor olabilir; bunu ayrıca doğrulayın. PHP 8.2’nin güvenlik desteği de 31 Aralık 2026’da sona eriyor. Bu nedenle bakım planına uzun vadeli sürüm geçişini de ekleyin.
Site sahipleri için uygulanabilir kontrol listesi
Bu listeyi hosting bakımından sorumlu kişiyle birlikte tamamlayın. Sonucu her site, alt alan adı ve ayrı uygulama için kaydedin. Kontrol panelinde tek bir ayarın değişmesi, tüm kurulumların doğrulandığı anlamına gelmez.
Hosting firmanıza gönderebileceğiniz kısa mesaj
Merhaba, sitemizi çalıştıran PHP ortamında CVE-2026-109618 ve CVE-2026-109619 düzeltmelerinin uygulandığını teyit edebilir misiniz? Tam paket sürümünü, ilgili güvenlik duyurusunu ve güncellemenin uygulandığı zamanı paylaşmanızı rica ederiz. Etkilenen tüm çalışan süreçler yeniden başlatıldı mı? Eski sürümle istek işlemeye devam eden havuz veya konteyner var mı? Yalnızca geçici yapılandırma değişikliği yapıldıysa yamalı pakete ne zaman geçilecek?
Yanıtı bakım kayıtlarınızda saklayın. Sadece “upload progress ayarı kapatıldı” deniyorsa paket güncellemesini de ayrıca teyit ettirin.
Güncellemeyi düzenli bakımın parçası haline getirin
Bir sonraki duyuru için güvenlik haberlerini kimin takip edeceğini, canlı ortamı kimin güncelleyebileceğini ve sonucu kimin kontrol edeceğini önceden belirleyin. Sorumlusu belli, kısa ve tekrarlanabilir bir kontrol listesi acil güncellemeleri tamamlamayı kolaylaştırır.
Sitenizin PHP ortamını doğrulamak, uyumlu bir sürüm geçişi planlamak veya uygulama güvenliğini değerlendirmek için desteğe ihtiyacınız varsa mevcut yapınızı Pixel Shield ile paylaşabilirsiniz. Önce işin kapsamını ve sonucu nasıl doğrulayacağımızı birlikte netleştirebiliriz.
Sık sorulan sorular
PHP yamasını beklemem gerekiyor mu?
Hayır. Güncellemeler 21 Ekim 2026’da yayımlandı. Yukarıdaki yamalı sürümleri veya sağlayıcınızın paket duyurusunu kontrol edip güncellemeyi gecikmeden planlayın.
Upload progress ayarını kapatmak sitemi tamamen korur mu?
Hayır. Bu, oturumla ilgili belirli yolları sınırlayan geçici bir önlem. İki açığın güvenlik yamalarının yerini tutmaz.
WordPress güncellemesi bu sorunu çözer mi?
Etkilenen bileşen PHP. WordPress bakımına devam edin, ancak hosting firmanızdan PHP ortamının da yamalandığını teyit etmesini isteyin.
Bu duyuru sitemin hacklendiği anlamına mı geliyor?
Hayır. Bir açık risk oluşturur; sitenin ele geçirildiğini söylemek için ayrı kanıt gerekir. Şüpheli değişiklik veya hareket varsa logları koruyup inceletin.
