CISA ve CERT-EU, 9.2 puanlı iki PHP RCE açığını duyurdu; ömrünü tamamlamış PHP 7.4–8.1 için yama gelmeyecek

PHP çekirdeğinde iki kimlik doğrulaması gerektirmeyen RCE açığı

dev.to'da yayımlanan bir yazıya göre CISA bir uyarı yayımladı ve CERT-EU 21 Ekim 2026'da CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen iki uzaktan kod yürütme açığını kapsayan 2026-018 numaralı danışma belgesini yayımladı. Her ikisi de CVSS 9.2 puanıyla derecelendirildi ve her ikisi de kimlik doğrulaması gerektirmeyen bir saldırganın web'e açık bir PHP runtime üzerinde kod çalıştırmasına imkân veriyor. Yazıya göre sömürü girişimleri halihazırda gözlemlenmiş.

Hatalar bir extension ya da framework'te değil PHP çekirdeğinde yer aldığından, yazının aktardığı php.net sürüm notları, PHP'yi HTTP üzerinden sunan tüm yaygın yöntemlerin erişilebilir olduğunu belirtiyor: mod_php, PHP-FPM, php-cgi, FrankenPHP ve LiteSpeed. Hiçbir yapılandırma değişikliği açık bir runtime'ı etkisiz kılmıyor; düzeltmenin yorumlayıcının kendisinden gelmesi gerekiyor. Yazı bu olayı PHP2Shell adıyla da anıyor.

Yamalanan sürümler ve hiçbir zaman yamalanmayacak sürümler

Acil sürümler şimdi yamaları taşıyor: PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Yazıya göre PHP 8.2 veya daha yenisini kullananlar için bu, yeniden başlatmanın izlediği rutin bir paket yükseltmesine indirgeniyor.

PHP 7.4, 8.0 ve 8.1 farklı bir konumda. Üç sürüm de ömrünü tamamlamış durumda, bunlar için bir düzeltme üretilmedi ve yazı hiçbir düzeltmenin gelmeyeceği konusunda kesin ifadeler kullanıyor. Bu sürümleri çalıştıran operatörler hiçbir şekilde yama uygulayamıyor; sunulan tek şey, ayrı ve daha yeni bir açığa yönelik bir azaltma önlemi.

Üçüncü bir açık ve tek satırlık bir azaltma önlemi

23 Ekim'de CVE-2026-115560 olarak üçüncü bir açık duyuruldu ve onun da henüz bir yaması yok. dev.to yazısına göre yayımlanan tek geçici çözüm tek bir php.ini ayarı: session.upload_progress.enabled = 0.

Yazı, ayarın trafiği gerçekten sunan SAPI'ye ulaştığının doğrulanmasını vurguluyor. Komut satırı ve FPM süreçleri sıklıkla farklı yapılandırma dosyalarını yükler ve yanlış dosyaya yerleştirilen bir azaltma önleminin hiçbir etkisi olmaz.

Yazı ayrıca erken dönemdeki bazı gürültüyü de geçiştiriyor: ayrıntılar resmi sürümden önce Hacker News'te 10.0 gibi şişirilmiş bir puanla ortaya çıktı, oysa resmi derecelendirme 9.2. Yazarın deyişiyle, virgülden sonraki basamak her iki durumda da yapılacak işi hiç değiştirmiyor.

Yazının operatörlere yapmasını söylediği şeyler

Önerilen adım sırası şöyle: dört yamalı sürümden birine geçmek, tek satırlık azaltma önlemini uygulamak ve etkili olduğunu doğrulamak, bir hosting sağlayıcısının gerçekte ne çalıştırdığını teyit etmek — yani bir satıcı durum sayfasını değil, isteklere yanıt veren binary'yi kast ediyoruz — ve PHP çalıştıran her makineyi envantere katmak; cron sunucuları, kuyruk işçileri ve container imajları dahil. Yamasız bir sürümdeki zamanlanmış bir görev, web'e açık olandan daha az maruz kalır diye not düşüyor yazı, ama bu güvenli olmakla aynı şey değil ve bu tür makineler çoğu zaman başka her şeyin kimlik bilgilerini elinde tutuyor.

PHP 7.4'ten 8.1'e kullanıcıların karşılaştığı seçim

Yazının ana argümanı şu: yamanamayan bir sürüm tek seferlik bir olay değil kalıcı bir durum; gelecekteki her CVE bu sürümlere upstream'den bir yanıt gelmeksizin düşecek ve operatörleri her belirli hata için var olup olmayacağı belirsiz doğaçlama azaltma önlemleri geliştirmeye bırakacak. Gerçekçi soru, desteklenen bir PHP sürümüne atlamak mı yoksa runtime'dan tamamen uzaklaşmak mı oluyor. Yazar dört test öneriyor: hizmetin uç noktalar, zamanlanmış görevler ve entegrasyonlardan oluşan yüzey alanı; değiştirilebilir framework yapıştırıcısı ile belgelenmemiş iş mantığı arasındaki denge; doğru davranışı tanımlayan çalıştırılabilir testlerin olup olmadığı; ve ekipte hâlâ iş kurallarını anlayan birinin olup olmadığı. İki güçlü dal ve kadrolu bir ekip sürüm atlamaya işaret eder; çoğunlukla yapıştırıcı, zayıf kurallar ve kalan bir sahibi olmaması ise PHP'den ayrılmaya işaret eder.

Neden önemli

PHP kadar yaygın dağıtılmış bir runtime'da CVSS 9.2 puanlı, kimlik doğrulaması gerektirmeyen uzaktan kod yürütme tek başına ciddi bir açık ve yazıya göre saldırı girişimleri halihazırda yaşanıyor. Bu olayı olağanüstü kılan ise acil düzeltmeler alan sürümler ile asla almayacaklar arasındaki kesin ayrım. Hâlâ PHP 7.4, 8.0 veya 8.1 çalıştıran herhangi bir kuruluş için bu bir yama egzersizi değil, zorunlu bir platform kararı — ve aynı ikilem, bu sürümlerin buradan sonra biriktireceği her açıkla yeniden karşımıza çıkacak.