PHP’de iki kritik güvenlik açığı: Sunucular için acil yama uyarısı
PHP yazılımında tespit edilen iki güvenlik açığı, web siteleri ve sunucu altyapıları için risk oluşturuyor. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen açıklar için düzeltmeler yayımlanmaya başlandı. Sistem yöneticilerine güvenlik güncellemelerini geciktirmemeleri çağrısı yapılıyor.
Web sitelerinin ve çok sayıda çevrim içi hizmetin altyapısında kullanılan PHP’de ortaya çıkan iki güvenlik açığı, sunucuların güvenliğini gündeme taşıdı. Bellek yönetimi ve hata işleme süreçlerindeki sorunlardan kaynaklanan açıklar, uygun koşullarda saldırganların sunucuda kod çalıştırmasına imkân verebilir.
Red Hat’in güvenlik duyurusuna göre, CVE-2026-109618 ve CVE-2026-109619 olarak tanımlanan açıklar için düzeltmeler hazırlanıyor ve güncellemeler kullanıma sunuluyor.
PHP açıkları sunucular için ne anlama geliyor?
İlk güvenlik açığı, PHP’nin gelen istekleri işlerken bellek ayırma işlemlerinde yaşanan bir sorundan kaynaklanıyor. Bellek ayırma işlemi başarısız olduğunda sistemin bazı dahili verileri düzgün biçimde geri almaması, sonraki işlemlerde bellek bozulmasına yol açabiliyor.
İkinci açık ise bir hata meydana geldiğinde istekle ilişkili bazı dahili verilerin geçersiz hâle gelmesine rağmen kullanılmaya devam edebilmesiyle ilgili. Bu durum, uygun koşullarda bellek bozulmasına ve uzaktan kod çalıştırılmasına neden olabiliyor.
Bu açıklar, yalnızca bir web sitesinin görüntülenmesini etkileyen sıradan yazılım hatalarından farklı. Başarılı bir saldırı, sunucuda çalışan süreçlerin güvenliğini ve uygulamaların bütünlüğünü tehlikeye atabilir. Bununla birlikte, uzaktan kod çalıştırılması her sistemde kolayca gerçekleştirilebilen veya kaçınılmaz bir sonuç değil. Saldırının başarı şansı PHP’nin çalışma biçimine ve sunucu yapılandırmasına bağlı.
Hangi sistemler daha fazla risk altında?
Red Hat, standart Red Hat Enterprise Linux kurulumlarında yaygın olarak kullanılan PHP-FPM yapısında, erken başlatma aşamasındaki bazı hataların çalışan sürecin sonlandırılmasıyla sonuçlandığını ve bunun uzaktan kod çalıştırılmasını zorlaştırdığını belirtiyor. Buna karşılık Apache üzerinde mod_php kullanan ve varsayılan yapılandırmayla çalışan sistemlerde risk daha yüksek değerlendiriliyor.
PHP-FPM kullanan sistemler de tamamen risksiz değil. Uygulamanın istek işleme yöntemleri ve hata sonrası bellek durumunun nasıl yönetildiği, açığın kullanılabilirliğini etkileyebiliyor. PHP çalıştırmayan veya PHP’yi güvenilmeyen HTTP isteklerine açmayan sistemler ise bu açıkların doğrudan hedefi değil.
PHP güncellemeleri neden geciktirilmemeli?
Red Hat, müşterilerine düzeltmeleri içeren ve güvenilir kaynaklardan doğrulanmış güncellemeleri, olağan bakım takvimini beklemeden uygulamalarını öneriyor. Bu yaklaşım özellikle internete açık web sunucularını yöneten işletmeler açısından önem taşıyor.
Sistem yöneticilerinin kullandıkları PHP sürümünü ve dağıtımın güvenlik duyurularını kontrol etmesi, ilgili düzeltmeleri uygulaması ve güncelleme sonrasında hizmetlerin düzgün çalıştığını doğrulaması gerekiyor. Yalnızca PHP’nin sürüm numarasına bakmak yeterli olmayabilir. Bazı Linux dağıtımları güvenlik düzeltmelerini mevcut sürüme geriye dönük olarak aktarabiliyor.
Red Hat yöneticisi Gunnar Hellekson da açıklamasında, temel yazılımlardaki güvenlik açıklarının farklı sektörlerde kullanılan sistemleri etkileyebileceğine dikkat çekerek test edilmiş yamaların erişilebilir olur olmaz uygulanmasını tavsiye etti.
