PHP'de Kritik Güvenlik Açığı: CVE-2026-109618 ve CVE-2026-109619 Hakkında Bilgilendirme
21 Ekim 2026 tarihinde PHP geliştirici ekibi tarafından, PHP'nin çeşitli sürümlerini etkileyen iki kritik güvenlik açığı duyuruldu. CVE-2026-109618 ve CVE-2026-109619 olarak tanımlanan bu açıklar, belirli koşullarda uzaktan yetkisiz kod çalıştırılmasına (Remote Code Execution - RCE) olanak sağlayabiliyor.
Her iki güvenlik açığı da CVSS 9.2 (Kritik) önem derecesine sahip. PHP geliştirici ekibi, etkilenen sistemlerin güvenlik güncellemelerini mümkün olan en kısa sürede uygulamasını öneriyor.
TürkHosting olarak gelişmeleri ve kullandığımız altyapı bileşenlerinin güvenlik güncellemelerini yakından takip ediyoruz.
Bu Güvenlik Açıkları Neden Önemli?
CVE-2026-109618 ve CVE-2026-109619 güvenlik açıkları, PHP'nin bellek yönetimi ve HTTP isteklerini işleme mekanizmalarındaki sorunlardan kaynaklanıyor.
Bu açıklar, belirli sunucu yapılandırmalarında saldırganların herhangi bir kullanıcı hesabına giriş yapmadan sunucu üzerinde yetkisiz kod çalıştırabilmesine neden olabiliyor.
Özellikle Apache mod_php kullanan sistemlerde risk daha yüksek olmakla birlikte PHP-FPM ve LiteSpeed gibi diğer PHP çalıştırma ortamları da belirli koşullarda etkilenebiliyor.
Bu nedenle yalnızca web uygulamalarının güncel tutulması yeterli olmayıp sunucu üzerindeki PHP bileşenlerine ait güvenlik yamalarının da uygulanması önem taşıyor.
Hangi PHP sürümleri etkileniyor?
PHP geliştirici ekibi, güvenlik açıklarını gidermek amacıyla 21 Ekim 2026 tarihinde aşağıdaki sürümleri yayımladı:
PHP Sürümü | Güvenlik Düzeltmesi İçeren Sürüm |
|---|---|
PHP 8.2 | 8.2.35 |
PHP 8.3 | 8.3.36 |
PHP 8.4 | 8.4.27 |
PHP 8.5 | 8.5.12 |
PHP 8.1 ve daha eski sürümler, PHP geliştirici ekibi tarafından artık resmî olarak desteklenmiyor. Bununla birlikte Plesk, CloudLinux ve diğer altyapı sağlayıcıları, bazı eski PHP sürümleri için geriye dönük güvenlik yamaları (backport) hazırlıyor.
Güvenlik açıkları PHP-FPM, Apache, CGI ve LiteSpeed gibi farklı PHP çalıştırma ortamlarını etkileyebiliyor. Etkilenme düzeyi sunucu yapılandırmasına göre değişiklik gösterebiliyor.
Plesk ve cPanel Güvenlik Güncellemeleri
PHP güvenlik duyurusunun ardından Plesk, cPanel ve CloudLinux gibi hosting altyapısı sağlayıcıları da gerekli güncelleme çalışmalarını başlattı.
Plesk: Linux tabanlı Plesk sunucuları için PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 güvenlik düzeltmeleri kullanıma sunuldu. PHP 7.4, 8.0 ve 8.1 gibi eski sürümlere yönelik çalışmalar ise devam ediyor. Plesk panelinin kendi PHP bileşeni için de ayrıca güvenlik güncellemesi planlanıyor.
cPanel / WHM: EasyApache 4 altyapısında kullanılan PHP paketleri için güvenlik güncellemeleri dağıtım sürecinde. Güncellemelerin sunuculara ulaşma zamanı kullanılan işletim sistemine ve paket depolarına göre farklılık gösterebiliyor.
CloudLinux: CloudLinux ekibi, hem Alt-PHP hem de EasyApache PHP paketleri için güvenlik düzeltmelerini hazırlıyor. Eski PHP sürümlerinin de güvenlik kapsamına alınması hedefleniyor.
Güncellemelerin dağıtım durumu üretici firmalar tarafından düzenli olarak paylaşılıyor.
Imunify360 ile Ek Güvenlik Önlemleri
CloudLinux tarafından yapılan açıklamaya göre Imunify360 ModSecurity Ruleset 8.83, söz konusu güvenlik açıklarıyla ilişkili bilinen saldırı yöntemlerinden birine karşı ek koruma sağlıyor.
Apache üzerinde çalışan ve Imunify360 güvenlik duvarı (WAF) etkin olan sistemlerde, ilgili saldırı kalıbına yönelik engelleme kuralları uygulanabiliyor.
Ancak bu koruma, PHP'nin güvenlik güncellemesinin yerine geçmiyor. Güvenlik açıklarının kalıcı olarak giderilmesi için ilgili PHP paketlerinin güncellenmesi gerekiyor.
TürkHosting Kullanıcılarının Bir İşlem Yapması Gerekiyor mu?
Paylaşımlı hosting hizmeti kullanan müşterilerimizin sunucu seviyesindeki PHP güvenlik güncellemelerini kendilerinin gerçekleştirmesi gerekmiyor. Bu işlemler TürkHosting teknik ekibinin yönetiminde yürütülüyor.
Linux Hosting, WordPress Hosting, Laravel Hosting ve Bayi Hosting gibi yönetilen hosting hizmetlerimizde ilgili altyapı güncellemeleri üretici duyuruları doğrultusunda takip ediliyor.
Kendi yönetiminde VDS, VPS, bulut sunucu veya fiziksel sunucu kullanan müşterilerimizin ise işletim sistemi, PHP sürümü ve kontrol paneli güncellemelerini kontrol etmelerini öneriyoruz.
Özellikle eski PHP sürümlerinin kullanıldığı sistemlerde, güvenlik düzeltmelerinin uygulanıp uygulanmadığının doğrulanması önem taşıyor.
Güvenlik Güncellemelerini Takip Ediyoruz
TürkHosting olarak sunucu altyapımızın güvenliğini önceliklerimiz arasında tutuyor, PHP geliştirici ekibi ve kontrol paneli üreticileri tarafından yayımlanan güvenlik duyurularını takip ediyoruz.
İlgili güvenlik yamalarının üreticiler tarafından kullanıma sunulmasıyla birlikte, altyapımızdaki uygulanabilir güncellemeleri uyumluluk ve hizmet sürekliliği kontrolleri doğrultusunda değerlendiriyoruz.
Konuyla ilgili sorularınız için müşteri panelimiz üzerinden destek talebi oluşturabilir veya iletişim sayfamızdan bize ulaşabilirsiniz.
Resmî Kaynaklar
Son güncelleme: 21 Ekim 2026