PHP geliştiricileri, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına izin verebilen iki kritik güvenlik açığını kapatmak için 21 Ekim 2026’da acil güncellemeler yayımladı. Açıklar CVE-2026-109618 ve CVE-2026-109619 kodlarıyla izleniyor. PHP projesi; 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinin düzeltmeleri içerdiğini açıkladı ve kullanıcıları derhal güncelleme yapmaya çağırdı. Resmî duyuruya göre tam koruma sağlayan alternatif bir azaltma yöntemi bulunmuyor.
Açıklar, PHP’nin ön bilgilendirmesinde Ortak Güvenlik Açığı Puanlama Sistemi’nin 4.0 sürümüne göre 9,2 ile kritik seviyede değerlendirildi. Başarılı bir saldırı, saldırganın önceden kimlik doğrulaması yapmadan savunmasız sunucuda kod çalıştırmasına imkân verebilir. Güvenlik kurumları, bu tür açıkların sunucunun dosya sistemine veya veritabanına erişim yolu oluşturabileceği uyarısında bulundu. Bu durum PHP kullanan her sitenin ihlal edildiği anlamına gelmiyor; ancak müdahalenin neden acil olduğunu gösteriyor.
Avrupa’daki bazı kamu ve hizmet siteleri, sistem yöneticileri etkilenme durumunu incelerken ve yamaları uygularken geçici olarak çevrimdışı alındı. Reuters; Hollanda, Almanya, Fransa, Belçika ve Finlandiya’daki kamuya açık hizmetlerde önleyici kapatmalar yaşandığını bildirdi. Wikimedia Vakfı da bazı sistemleri güvenli biçimde güncellenene kadar devre dışı bıraktığını açıkladı. Yetkililer, birçok kapatmanın doğrulanmış veri ihlali nedeniyle değil tedbir amacıyla yapıldığını özellikle belirtti.
CERT-EU, etkilenen kuruluşların yeni PHP sürümlerini mümkün olan en kısa sürede kurmasını istedi. ABD Ulusal Güvenlik Ajansı ile Siber Güvenlik ve Altyapı Güvenliği Ajansı da hızlı güncelleme çağrısı yaptı. Yamanın hemen uygulanamadığı durumlarda internete açık sistemlerin geçici olarak çevrimdışı alınması daha güvenli seçenek olarak sunuldu. Yine de kuruluşların kendi sunucu sürümlerini, yapılandırmalarını ve uygulamalarını ayrı ayrı incelemesi gerekiyor.
Olay, PHP’nin internetteki yaygın kullanımı nedeniyle büyük bir güncelleme operasyonuna dönüştü. Dil; içerik yönetim sistemlerinden özel web uygulamalarına kadar geniş bir altyapının temelinde bulunuyor. Bu nedenle çalışma zamanındaki kritik bir açık; kamu kurumları, şirketler, okullar, hastaneler ve gönüllü platformlarda aynı anda risk oluşturabiliyor. Destek süresi sona ermiş PHP sürümleri güncel güvenlik paketlerini alamayabileceği için desteklenen dallara yükseltilmeleri gerekiyor.
PHP’nin bakım ekibi, açıklardan biriyle bağlantılı ilk işaretlerin 2024’te bildirildiğini ancak o tarihte somut bir saldırı yönteminin ortaya konamadığını kabul etti. Reuters’a göre PHP Foundation, sorunun giderilmesindeki gecikmeyi yapısal bir başarısızlık olarak nitelendirdi. Araştırmacılar açıkların bulunması ve analiz edilmesinde yapay zekâ araçlarından yararlanırken, düzeltme ve sürüm sürecine PHP bakım ekibi liderlik etti.
Sistem yöneticileri için doğrulanmış yol haritası açık: kullanılan PHP sürümlerini tespit etmek, uygun yamalı sürüme yükseltmek, internete açık sistemleri incelemek ve resmî güvenlik duyurularını takip etmek. Doğrulanmamış geçici çözümlere güvenmek veya yalnızca hizmeti yeniden başlatmak koruma sağlamaz. Bir kurumda saldırı belirtisi görülmemesi de güncelleme gerekliliğini ortadan kaldırmaz.
