PHP iki kritik CVE için acil yamaları yayınladı (CVSS 9,2)
php ekibi, uzaktan kod çalıştırmaya yol açabilecek CVE-2026-109618 ve CVE-2026-109619 için 21 Ekim 2026’da acil güvenlik yamalarını yayınladı. Her iki açık da CVSS 9,2 ile derecelendirildi; PHP 5.4’ten bu yana tüm desteklenen web sürümlerini etkileyebilecek geniş bir yüzey oluşturuyor. Türkiye’deki WordPress, Laravel ve özel PHP stack’leri için sunucu düzeyinde güncelleme kritik.
Ana Gelişme
Açıklar, OpenAI’nin “Patch the Planet” çalışması ve Google Cloud / Wiz’in Atlas agent araştırmasıyla tespit edildi; NSA da kurumları yamaya hazırlık için uyardı. Ars Technica’ya göre yama öncesi sızıntı senaryosunda PHP2Shell adlı exploit araçları CMS ortamlarında RCE göstermiş; güvenlik firmaları yama sonrası dakikalar içinde kitlesel saldırı riskine işaret etti.
Düzeltilen sürümler: 8.5.12, 8.4.27, 8.3.36, 8.2.35. Yaklaşık 1,3 milyon internete açık host etkilenebilir tahmin ediliyor. WordPress yalnızca CMS güncellemesiyle sorunu çözemez; barındırma katmanında PHP yükseltmesi şart.
Neden Önemli?
PHP, global web’in omurgası; Türk e-ticaret ve medya sitelerinin önemli kısmı aynı stack’i paylaşıyor. ai-cybersecurity bağlamında AI destekli keşif, exploit uyarlamasını hızlandırıyor — yama gecikmesi operasyonel riski katlıyor.
Hemen yapılacaklar: Desteklenen sürüme yükseltme, WAF ve izleme sıkılaştırması, yedek ve geri dönüş planı; yama mümkün değilse NSA’nın önerdiği şekilde geçici olarak hizmeti kapatma seçeneği değerlendirilmeli. Exploit PoC detayları bu haberde paylaşılmamaktadır.