PHP geliştirici ekibi, web sitelerini ve uygulamaları etkileyen iki kritik güvenlik açığı için acil yama yayınlayacağını duyurdu. Pazartesi günü yapılan açıklamaya göre, her ikisi de CVSS v4.0 ölçeğinde 9.2 puan alan bu açıklar için yamalar, önceden planlanandan daha erken bir tarihte, 21 Ekim Çarşamba günü saat 14:00 UTC’de (Türkiye saatiyle 17:00) yayınlanacak.
PHP, içerik yönetim sistemlerinden (content management system) e-ticaret platformlarına kadar sayısız web uygulamasının temelini oluşturan bir programlama dili. Bu nedenle açıklanan güvenlik zafiyetlerinin kapsamı, dünya genelindeki milyonlarca siteyi ilgilendiriyor.
Bilgiler planlanmadan önce sızdırıldı
PHP güvenlik ekibi, açıkların teknik detaylarını, hangi sürümleri etkilediğini veya hangi PHP versiyonlarının düzeltme içereceğini henüz paylaşmadı. Ancak güvenlik araştırma şirketi watchTowr‘dan edinilen bilgilere göre, CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen açıkların, uzaktan kod çalıştırma (remote code execution) türünde olduğu ve PHP 5, 6, 7 ve 8 sürümlerini etkilediği düşünülüyor.
Bunlar da İlginizi Çekebilir
watchTowr CEO’su Benjamin Harris, açıkların aslında Perşembe günü saat 11.00’de (ABD Doğu saati) ambargolu olarak duyurulmasının planlandığını, ancak bilgilerin beklenmedik şekilde sızdırıldığını açıkladı. Harris, her iki açığın da gerçek olduğunu ve CVSS 10 seviyesinde değerlendirildiğini belirtti; bu, PHP’nin resmi 9.2 puanlamasından farklı bir rakam. Y Combinator’ın Hacker News forumunda da benzer iddialarla bir paylaşım yapıldığı, ardından silindiği ortaya çıktı.
watchTowr, CVE-2026-109618 açığını başarıyla yeniden ürettiklerini ancak resmi yama yayınlanana kadar teknik detay paylaşmayacaklarını duyurdu. Araştırmacılar, açıkların şu ana kadar aktif olarak istismar edildiğine dair bir kanıt görmediklerini de sözlerine ekledi.
PHP ekibi, “Her iki açığa ilişkin detaylar kamuya açık hale gelirse veya vahşi doğada aktif istismar kanıtı ortaya çıkarsa, yayını erkene alma hakkımızı saklı tutuyoruz” ifadesini kullandı. Sistem yöneticilerine, yama yayınlanır yayınlanmaz güncelleme yapabilmeleri için şimdiden hazırlık yapmaları çağrısında bulunuldu. Türkiye’de PHP tabanlı CMS ve web uygulamaları kullanan sitelerin de bu güncellemeyi gecikmeden uygulaması, olası saldırılara karşı kritik önem taşıyor.
Kaynaklar:
YORUMLAR
(0)