PHP Çekirdeğinde Kritik RCE Zafiyetleri

15 saat önce

1 dakikada okunur

21 Ekim 2026 tarihinde PHP geliştirici ekibi, dünya çapında milyonlarca web sunucusunu ve uygulamayı doğrudan etkileyen iki kritik sıfırıncı gün (zero-day) zafiyeti için acil güvenlik güncellemeleri yayınladı. "php2shell" olarak adlandırılan ve 9.2 CVSS skoruna sahip bu zafiyetler (CVE-2026-109618 ve CVE-2026-109619), kimliği doğrulanmamış uzaktaki saldırganların sunucularda tam yetkiyle uzaktan kod çalıştırmasına (RCE) olanak tanımaktadır.

Söz konusu açıklar, PHP'nin bellek yönetimi (OOM - Out of Memory) ve işlem durumu süreçlerindeki mantıksal hatalardan kaynaklanmaktadır. Saldırganlar özel olarak oluşturulmuş HTTP istekleriyle uygulama kodları dahi çalışmadan bellek bozulması (memory corruption) veya Use-After-Free durumları tetikleyebilmektedir. Özellikle Apache mod_php, PHP-FPM, Nginx ve e-ticaret/CMS platformlarını kullanan altyapılar doğrudan en yüksek risk grubunda yer almaktadır.

Bu tip saldırılardan korunmak için almamız gereken tedbirlerin bazıları;

PHP sürümlerini güncelleyin: PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 veya ilgili güvenlik düzeltmelerini içeren daha güncel sürümlere geçin.
Destek dışı sürümleri kaldırın: PHP 7.4, 8.0 ve 8.1 gibi desteği sona ermiş sürümleri desteklenen sürümlere yükseltin.
WAF korumasını etkinleştirin: Şüpheli HTTP isteklerini ve anormal veri yükleme girişimlerini izleyerek engelleyin.
Erişim yetkilerini sınırlandırın: PHP servislerini en az ayrıcalık prensibiyle çalıştırın.
Güvenlik izlemelerini artırın: Web sunucusu loglarını ve EDR uyarılarını takip ederek şüpheli işlemleri tespit edin.