PHP'de Kritik Açıklar: CVE-2026-109618 ve CVE-2026-109619

PHP tabanlı web uygulamalarını kullananlar için acil bir uyarı var: CVE-2026-109618 ve CVE-2026-109619 olarak kaydedilen iki kritik güvenlik açığı PHP'yi doğrudan hedef alıyor. Bu açıklar, WordPress, Drupal gibi popüler CMS'ler ve milyonlarca web sunucusunu etkileme potansiyeline sahip.

Bu açıklar özellikle tehlikeli çünkü uzaktan kod çalıştırma (RCE) sağlayabiliyor. Saldırgan, bir PHP uygulamasının giriş noktasından faydalanarak sunucuda keyfi komut çalıştırabiliyor ve veritabanına erişebiliyor. Eğer senin sitesi PHP 7.x ya da 8.x versiyonlarından birini çalıştırıyorsa, bu açıklar seni doğrudan ilgilendiriyor.

Hemen yapman gereken ilk adım PHP sürümünü kontrol etmek. php -v komutuyla terminal ya da SSH üzerinden mevcut versiyonu öğren. Ardından resmi PHP deposundan en son güvenlik yamalarını indir ve kur. Eğer yönetilen bir hosting kullanıyorsan (cPanel, Plesk vb.), kontrol panelinden PHP sürümünü güncelleyebilirsin.

İkinci adım, PDO veya mysqli kullanarak veritabanı sorgularında hazırlanmış ifadeleri (prepared statements) kullanmak. Eğer eski kodda doğrudan SQL sorgularına kullanıcı girdisi ekliyorsan, bunu hemen değiştir. Örneğin, $pdo->prepare("SELECT * FROM users WHERE id =?") gibi yapılar SQL enjeksiyon saldırılarını engeller.

Üçüncü adım, sunucuda bir Web Application Firewall (WAF) devreye almak. Cloudflare, Sucuri ya da benzer hizmetler, bilinen açıkların istismarını bloke edebiliyor. Ayrıca, PHP uygulamanın çalıştığı dizin izinlerini sıkılaştır; sadece gerekli dosyalara yazma izni ver.

Son olarak, günlükleri düzenli kontrol et. Eğer `/var/log/apache2/error.log` ya da `/var/log/nginx/error.log` dosyalarında anormal aktivite görürsen, sunucun zaten hedef alınmış olabilir. Bu durumda hemen bir güvenlik uzmanına danış ve veri ihlali taraması yaptır.