PHP'de Kritik Uzaktan Kod Çalıştırma Açıkları: Hemen Güncelle

PHP projesi 21 Ekim 2026'da iki kritik güvenlik açığının düzeltmelerini yayınladı. Bu açıklar, kimlik doğrulamaya gerek duymadan uzaktan kod çalıştırma (RCE) saldırısına izin veriyor. Etkilenen sürümler 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 olarak belirtilmiş; eğer bu versiyonlardan önceki bir sürümü kullanıyorsan hemen güncelleme yapmalısın.

Açıkların teknik detayları halka açılmış ve proof-of-concept (PoC) kodları zaten dolaşmaya başlamış. Bu, saldırganların açıkları aktif olarak istismar etmesinin çok yakın olduğu anlamına geliyor. Eğer web sunucuları yönetiyorsan veya PHP tabanlı uygulamalar çalıştırıyorsan bu güncellemeleri öncelik olarak al.

23 Ekim'de PHP, üçüncü bir RCE açığı daha açıkladı. Ancak bu açık yalnızca alışılmadık yapılandırılmış web uygulamalarını etkiliyor ve PHP bunu düşük risk olarak değerlendiriyor. Bu nedenle acil bir güncelleme paketi yayınlanmayacak; bunun yerine etkilenen sistemlere yazılım tarafından geçici çözüm (mitigation) uygulanması tavsiye ediliyor.

Eğer kendi PHP sunucularını yönetiyorsan, tüm web uygulamalarının güncel PHP sürümlerinde çalıştığını kontrol et. Paylaşılan hosting kullanıyorsan hosta başvur ve sunucularının güncellenip güncellenmedğini sor. Bu tür kritik açıklar genellikle saldırganların ilk hedefleri olur; beklemeden harekete geç.