PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 Çıktı: İki Kritik RCE Açığı Kapatıldı

PHP projesi, 21 Ekim 2026'da yayımladığı güvenlik duyurusunda PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinin kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya (RCE) yol açabilen iki kritik açığı kapattığını bildirdi ve tüm kullanıcılara derhal güncelleme çağrısı yaptı.

Bu sayfadaki bilgiler php.net üzerindeki 21 Ekim 2026 tarihli güvenlik duyurusuna ve duyurunun bağlandığı GitHub güvenlik bültenlerine (GHSA) dayanır. Haber sitelerinin özetlerinden bilgi aktarılmamış, metin Türkçe olarak sıfırdan yazılmıştır.

Künye

İki Açık Ne Anlatıyor?

Duyuruya göre birinci açık olan CVE-2026-109618 bellek yetersizliği (OOM) durumunun yönetimiyle ilgilidir: PHP, iç istek verileri henüz yarım başlatılmışken kesilebilir ve istek temizliği bu geçersiz veriyi geçerli sayabilir. Duyuru bu açığı "OOM bozulması üzerinden RCE" olarak adlandırıyor.

İkinci açık olan CVE-2026-109619 ise "bayat global durum" sorunudur: isteğe ait iç durum, arkasındaki bellek serbest bırakıldıktan sonra da yaşamaya devam edebilir. Aynı işçi süreç (worker) tarafından işlenen sonraki bir istek, normal ilk değer atamasından önce bu bayat durumu kullanabilir.

Kimler Risk Altında?

PHP projesi, web isteği sunan tüm PHP kurulumlarını riskli sayıyor; duyuruda PHP-FPM, Apache ile mod_php, php-cgi, FrankenPHP ve LiteSpeed örnek olarak sayılıyor. Riskin en yüksek olduğu yapı mod_php: duyuru, bu yapıda kimlik doğrulaması olmayan bir isteğin uygulama kodu çalışmadan önce saldırıyı tetikleyebildiğine dair gösterilmiş bir istismar bulunduğunu söylüyor.

PHP 8.1 ve daha eski sürümler artık PHP projesinden güncelleme almıyor. Proje, ciddiyet nedeniyle PHP 7.4, 8.0 ve 8.1 için kaynaktan derleyenlere yönelik asgari düzeyde geri taşıma (backport) dalları yayımladı. Duyuru, bazı dağıtım ve uzun süreli destek (LTS) sağlayıcılarının da kendi düzeltmelerini sunabildiğini belirtiyor.

Hemen Güncelleyemeyenler İçin Geçici Önlemler

Duyuru, tek tam çözümün güncelleme olduğunu, aşağıdaki önlemlerin yalnızca belirli saldırı yollarını daralttığını ve kurulumu güvenli hâle getirmediğini vurguluyor. CVE-2026-109618 için memory_limit=-1 ayarı (uygulamaların geçersiz kılamayacağı biçimde), düşük bir post_max_size değeri ve web sunucusu ya da vekil sunucu düzeyinde istek boyutu sınırları öneriliyor. CVE-2026-109619 için session.upload_progress.enabled=0 ayarı, PHP 8.5'te fatal_error_backtraces=0 ve her ayardan sonra tüm işçi süreçlerin yeniden başlatılması anılıyor.

Bu ayarların her biri yalnızca doğrulanmış belirli yolları kapatır; duyuru, başka varyantların bu yollarla engellenmeyeceğini açıkça söylüyor.

Bir Bilgi: PHP 8.2 Takvimi

8.2.35 sürüm duyurusuna göre PHP 8.2 dalı 31 Aralık 2026'da destek ömrünün sonuna ulaşıyor. Bu bilgi, güncelleme planı yaparken 8.2 kullanan sitelerin ayrıca üst sürüme geçişi düşünmesi gerektiğini gösterir.

İlgili Sayfalar

Benzer bir güvenlik düzeltmesi için NGINX'in üç CVE'yi kapatan yamaları sayfamıza bakabilirsiniz.

Bu Sayfada Ne Yok?

• Açıkların vahşi ortamda aktif olarak istismar edildiği bilgisi: duyuruda yer almadığı için yazılmamıştır; yalnızca mod_php için "gösterilmiş istismar" ifadesi vardır.
• Etkilenen site sayısı ya da "binlerce site risk altında" gibi rakamlar: birincil kaynakta bulunmadığı için yazılmamıştır.
• NVD kaydındaki ayrı bir puanlama: kayıt okunamadığı için doğrulanamadı ve yazılmamıştır.
• Açığı bildirenlerin kimlikleri ve ödül ayrıntıları: bu sayfada gerekli görülmediği için yer almaz.
• Belirli bir hosting firmasının ya da sitenin etkilenip etkilenmediği: kaynakta yoktur; sağlayıcınızın duyurusu esas alınmalıdır.
• Adım adım istismar yöntemi: yazılmamıştır; sayfa yalnızca savunma amaçlı bilgi verir.
• Türkiye'deki kurumlara özgü bir etki ya da USOM açıklaması: doğrulanabilir bir kayıt bulunamadı.

Sık Sorulan Sorular

Hangi PHP sürümleri düzeltmeyi içeriyor?

PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Duyuru, 8.6.0 RC4 sürümünün de düzeltmeleri içerdiğini belirtiyor.

CVSS puanı kaç?

PHP'nin 20 Ekim ön duyurusu ve GitHub güvenlik bültenleri iki açığı da CVSS v4.0 üzerinden 9,2 olarak puanlıyor. 21 Ekim duyuru metninin kendisinde puan yer almıyor.

PHP 8.1 kullanıyorsam ne yapmalıyım?

PHP 8.1 ve eskisi artık proje tarafından güncellenmiyor. Dağıtım ya da LTS sağlayıcınızın geri taşınmış düzeltmesini sorgulayın ya da desteklenen bir sürüme geçin. Proje ayrıca kaynaktan derleyenler için 7.4, 8.0 ve 8.1 dallarında asgari düzeyde geri taşıma yayımladı.

Geçici ayarlar yeterli mi?

Hayır. Duyuru, ayarların kurulumu güvenli yapmadığını, yalnızca belirli saldırı yollarını daralttığını söylüyor; tam çözüm güncellemedir.

Açık aktif olarak istismar ediliyor mu?

Duyuruda vahşi ortamda istismar bilgisi yok. Yalnızca mod_php için gösterilmiş bir istismar bulunduğu belirtiliyor.

Barındırma hizmeti alıyorsam ne yapmalıyım?

PHP sürümünü genellikle sağlayıcı yönetir. Sağlayıcınızın güvenlik duyurularını izleyin ve kendi kontrol panelinizde PHP sürümünüzü yukarıdaki düzeltilmiş sürümlerle karşılaştırın.

Kaynak ve kapsam: php.net'te yayımlanan 21 Ekim 2026 tarihli "Security advisory: Critical remote code execution vulnerabilities" duyurusu ile php-src deposundaki GHSA-w8hw-w9fx-j79w ve GHSA-6wmf-4rv5-p3rp güvenlik bültenleri. Vahşi ortamda istismar, etkilenen site sayısı ve NVD puanlaması kaynakta bulunmadığı ya da okunamadığı için yazılmamıştır.