PHP Kritik Güvenlik Açığı Duyurusu (CVE-2026-109618 ve CVE-2026-109619)

Yayınlayan: Raguron Telekomünikasyon ve İnternet Ltd. Şti.

Kategori: Siber Güvenlik / Bilgi Bankası Duyuruları

Önem Derecesi: KRİTİK (CVSS v4.0 Puanı: 9.2 / 10)

Yayın Tarihi: 21 Ekim 2026

Etkilenen Teknolojiler: PHP (Tüm Web Sunucu Modülleri ve Çalışma Ortamları)

💡 1. Güvenlik Açığı Nedir ve Neden Önemli? (Özet)

PHP, internet üzerindeki web sitelerinin, e-ticaret sistemlerinin ve müşteri panellerinin %70'inden fazlasında kullanılan bir sunucu programlama dilidir.

PHP Güvenlik Ekibi, sistemlerde Uzaktan Kod Çalıştırma (Remote Code Execution - RCE) imkânı tanıyan iki kritik zafiyet tespit etmiştir.

🛑 Uzaktan Kod Çalıştırma (RCE) Riski Ne Anlama Gelir?

RCE zafiyetleri, siber güvenlikteki en tehlikeli açıklardan biridir. Bir saldırgan bu açığı istismar ettiğinde şu durumlar yaşanabilir:

• Tam Sunucu Kontrolü: Saldırgan, sizden veya sistem yöneticinizden izin almadan sunucunuzda kendi komutlarını çalıştırabilir.
• Veri Sızıntısı ve Çalma: Müşteri bilgileri, veritabanı şifreleri, kredi kartı altyapı verileri ve özel dosyalar çalınabilir.
• Veri Silme ve Zararlı Yazılım: Sunucuya fidye yazılımı (ransomware) bulaştırılabilir veya tüm web sitesi silinebilir.
• Diğer Sistemlere Sızma: Aynı sunucu üzerinde çalışan diğer siteler ve uygulamalar da tehlikeye girebilir.

🔍 2. Teknik Detaylar ve CVE Tanımları

• CVE-2026-109618: PHP çalışma ortamının bellek yönetiminde veya girdi işleme mekanizmasında tespit edilen ve uzaktan kod çalıştırılmasına izin veren kritik güvenlik açığıdır.
• CVE-2026-109619: Aynı güvenlik güncellemesi kapsamında duyurulan, sistem bütünlüğünü ve veri gizliliğini tehdit eden ikinci kritik zafiyettir.

Önemli Not: PHP ekibi tarafından açıklanan CVSS v4.0 puanı 9.2 (Kritik) seviyesindedir. Bu durum, açığın kullanımının nispeten kolay olduğunu ve oluşturabileceği hasarın çok yüksek olduğunu gösterir.

🖥️ 3. Hangi Sistemler Kontrol Edilmeli?

Sisteminizde veya sunucunuzda PHP kullanılıyorsa, doğrudan veya dolaylı olarak risk altındasınız demektir. Özellikle şu bileşenlerin kontrol edilmesi gerekir:

1. Web Sunucuları: Apache, Nginx, LiteSpeed.
2. PHP Çalışma Servisleri: PHP-FPM, PHP-CLI modülleri.
3. Hazır Web Siteleri (CMS): WordPress, Joomla, Drupal, Opencart, Magento.
4. Özel Yazılımlar ve Framework'ler: Laravel, Symfony, CodeIgniter ile yazılmış özel web siteleri ve API servisleri.
5. Sunucu Ortamları: Sanal sunucular (VPS/VDS), Docker konteynerleri ve paylaşımlı hosting hesapları.

🛠️ 4. Ne Yapmalısınız? (Adım Adım Eylem Planı)

Sistemlerinizi güvenceye almak için aşağıdaki adımları sırasıyla uygulayınız:

Adım 1: Sunucudaki PHP Sürümünüzü Tespit Edin

Sunucunuza SSH ile bağlanarak veya web sitenizin yönetim panelinden aktif PHP sürümünüzü kontrol edin:

Bash

php -v

Adım 2: Resmî Güvenlik Yamasını Uygulayın (En Önemli Adım)

PHP tarafından yayınlanan güncel güvenlik paketlerini sunucu paket yöneticiniz (APT, YUM vb.) aracılığıyla derhal güncelleyin:

• Ubuntu / Debian sistemlerde:
  Bash

  sudo apt-get update && sudo apt-get upgrade php*

• CentOS / RHEL / AlmaLinux sistemlerde:
  Bash

  sudo dnf update php*

Adım 3: Güncelleme Yapamıyorsanız Geçici Önlemler Alın

Sisteminiz veya yazılımınız hemen güncelleme yapmaya uygun değilse (uyumluluk sorunları vb.), riski azaltmak için:

• Web Uygulama Güvenlik Duvarı (WAF - Cloudflare vb.) kurallarınızı en sıkı seviyeye getirin.
• Dışarıdan dosya yükleme (Upload) yapılan formları geçici olarak devre dışı bırakın.
• Yönetim panellerine (admin panel) erişimi IP kısıtlaması ile sadece kendi yetkili personelinize açın.

Adım 4: Sunucu Loglarını İnceleyin

Sunucunuzdaki erişim kayıtlarını (access log) ve hata kayıtlarını (error log) olağandışı komutlar veya beklenmeyen istekler açısından taranması için teknik ekibinize yönlendirin.

🔗 5. Resmî Kaynaklar ve Bağlantılar

• PHP Resmî Web Sitesi: https://www.php.net/
• PHP GitHub Güvenlik Danışmaları: https://github.com/php/php-src/security/advisories
• CERT-EU Güvenlik Raporu: https://cert.europa.eu/publications/security-advisories/2026-018/

💬 Destek ve Yardım

Raguron Telekomünikasyon olarak, tüm sunucu altyapılarımızda gerekli güvenlik önlemlerini ve filtrelemeleri yakından takip etmekteyiz.

Kendi sunucusunu (VDS/Dedicated) yöneten müşterilerimiz, güncelleme veya teknik destek süreçleriyle ilgili soruları için Müşteri Paneli > Destek Talepleri üzerinden 7/24 Siber Güvenlik ve Teknik Operasyon ekibimize ulaşabilirler.