Amazon Linux 2023 PHP yaması, AWS hataları Önemli olarak sınıflandırdığı için 20 gün sürebilir

Ne oldu

Amazon Linux 2023'ün GitHub deposuna açılan bir paket güncelleme talebi, AWS'yi PHP yorumlayıcısındaki iki güvenlik açığı olan CVE-2026-109618 ve CVE-2026-109619 için yamalı PHP paketlerini yayımlamaya çağırıyor. 21 Ekim 2026'da Hacker News'te ortaya çıkan talep, açanı tatmin edici bulmadığı iki AWS destek yanıtını aktarıyor — ikinci yanıt Amazon Linux 2023'e hiç değinmiyor bile.

Konuya göre, talebi açan kişi Business düzeyi veya üzeri bir destek planına sahip. İlk yanıt, servis ekibinin sorunun farkında olduğunu ve üzerinde aktif olarak çalıştığını söylüyor; belirli bir tarih vermiyor ve müşterilerin Amazon'un herkese açık Linux güvenlik bültenlerini izlemesini ile güncellemeler yayımlandığında kendi ortamları için etkiyi değerlendirmesini öneriyor.

AWS güvenlik açıkları hakkında ne diyor

GitHub konusunda alıntılanan ikinci yanıt, CVE'lerin varsayılan yapılandırmada PHP 8.2 ile 8.5 arasındaki dalları etkilediğini ve kimliği doğrulanmamış uzaktan bir aktörün PHP worker süreçlerini çökertebileceğini doğruluyor. AWS, erişilebilir senaryoların dar kapsamlı olduğunu ve pratikte kullanılmasının zor olduğunu değerlendirdiğini ekliyor.

Kendi barındırılan servisleri için AWS iki düzeltme özetledi:

• Elastic Beanstalk: en son platform sürümünde bir risk azaltma yayımlanıyor. Managed Platform Updates özelliği etkin ortamlar bakım penceresinde otomatik olarak yükseltilecek; özelliği olmayan müşteriler platform sürümünü kendileri güncellemek zorunda.
• Lightsail: AWS, düzeltmeyi değerlendirip yeni blueprint'lere entegre edecek böylece müşteriler benimseyebilecek.

İki yanıtın hiçbiri Amazon Linux 2023'ün kendi depolarındaki güncellenmiş PHP paketleri için bir tarih taahhüt etmiyor.

Zaman çizelgesini esneten derecelendirme

Konuyu çerçeveleyen Hacker News yazısı, gecikmenin sınıflandırmadan kaynaklandığını savunuyor: AWS güvenlik açığını Kritik yerine Önemli olarak derecelendirdiği için Amazon Linux 2023 yaması 20 güne kadar sürebilir. Bu süre ve derecelendirme, AWS'nin aktardığı yanıtlarda değil yazının başlığında yer alıyor; yanıtlar ne bir önem derecesi ne de bir yama penceresi doğruluyor.

Hatanın tanımlanmasında da bir fark var. Hacker News başlığı hatayı uzaktan kod çalıştırma açığı olarak nitelendirirken, AWS'nin destek yanıtı pratik etkiyi kimliği doğrulanmamış aktörlerin PHP worker süreçlerini çökertmesi — yani bir hizmet engelleme (denial-of-service) sonucu — olarak tanımlıyor. İki anlatım da hatanın PHP 8.2 ile 8.5 arasının varsayılan yapılandırmalarında kimlik doğrulaması olmadan uzaktan erişilebilir olduğu konusunda hemfikir.

Neden önemli

PHP'yi dağıtımın kendi depolarından kuran Amazon Linux 2023 kullanıcıları, upstream düzeltmelerinin paketlenip yayımlanması için AWS'ye muhtaç. 20 günlük pencere gerçekleşirse, bu kullanıcılar desteklenen bir pakette bilinen, uzaktan erişilebilir bir güvenlik açığını haftalarca, kayıtlı bir tarih olmadan çalıştırır — dağıtımınızın depolarından yama yapın şeklindeki standart öneri burada hiçbir koruma sağlamaz.

Servise özgü risk azaltmalarının da boşlukları var. Elastic Beanstalk'un otomatik güncellemesi yalnızca Managed Platform Updates etkin ortamları kapsıyor ve Lightsail çalışması yeni blueprint'lere yönelik, bu da halihazırda çalışan instance'lara pek fayda sağlamıyor.

Daha geniş çerçevede olay, önem derecesine dayalı yama zaman çizelgelerinin riskini gözler önüne seriyor: desteklenen paketlerin ne kadar hızlı düzeltüleceğini upstream'deki aciliyet değil, satıcının iç derecelendirmesi belirliyor. Amazon Linux 2023 üzerinde etkilenen PHP sürümlerini çalıştıran yöneticiler, bülten akışını beklemek yerine ara risk azaltmalarını değerlendirmek veya upstream PHP sürümlerini kendileri uygulamak zorunda kalabilir.