Kritik PHP RCE açıkları bir geliştiriciyi bir kurala itti: aynı gün yama yoksa, self-hosting yok

CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen iki kritik PHP açığı bu hafta duyuruldu ve ikisi de bir saldırganın etkilenen sunucuda oturum açmadan kod çalıştırmasına izin veriyor. Bu bilgi, dev.to'da yayımlanan bir gönderiden geliyor; gönderi, PHP projesinin danışma belgesine ve acil yamalama çağrısı yapan, 21 Ekim'de yayımlanan bir CISA uyarısına atıfta bulunuyor. Yazar ayrıca sağlayıcısı Hetzner'den aldığı bir e-postadan söz ediyor; e-postada, sunucusunun self-managed olduğu için güncellemeyi uygulamanın kendi görevi olduğu belirtiliyor — bu hatırlatma onu kendi kurulumunu denetlemeye itmiş. Hetzner'in durum sayfasında da gönderide alıntılanan ilgili bir olay bildirimi yer alıyor.

Yazarın buldukları

Web siteleri managed hosting üzerinde WordPress çalıştırıyor, dolayısıyla PHP güvenlik güncellemelerini sağlayıcı onun adına uyguluyor. Duyurudan sonra tarafında gereken tek kontrol, kullanılan PHP sürümünün build tarihini doğrulamaktı.

Buna karşılık Hetzner sunucusunda hiç PHP çalışmıyor. Bu haftaki açıklardan hiçbir şey üzerinde etkilenen bir bileşen yoktu.

Gerçekleşmeyen göç

Zamanlama öğreticiydi. Yalnızca birkaç gün önce yazar, para tasarrufu için WordPress sitelerini Hetzner makinesine taşımayı düşünüyordu. Haftanın duyuruları gizli maliyeti görünür kıldı: self-managed bir sunucuda yamalama görevi ona düşüyor — düzeltme yayımlandığı gün, gece yarısına yakın bir saatte bile.

Bir de etki alanı argümanı vardı. Hetzner makinesi otomasyonunu çalıştırıyor ve yanındaki tehlikeye atılmış bir WordPress kurulumu, savunmasız tek bir siteyi makinedeki diğer her şey için bir sıçrama noktasına dönüştürürdü.

Vardığı sonuç: WordPress siteleri managed hosting'te kalıyor ve sunucu agent iş yükleri için ayrılmaya devam ediyor. Bu olaydan çıkardığı kural basit — kritik bir düzeltme geldiğinde bir yazılımı aynı gün yamalayamıyorsa, onu kendisi barındırmıyor.

Neden önemli

Anekdot küçük, ama tarif ettiği ödünleşim her self-hosting kararının merkezinde duruyor. Bir dil runtime'ındaki oturum açmadan uzaktan kod çalıştırma açığı, yazılım hatalarının ulaştığı en ağır ciddiyet seviyesindedir: kimlik bilgisi gerekmez, sunucunun tamamen ele geçirilmesi söz konusudur ve hedef alınacak devasa bir PHP uygulaları tabanı vardır. CISA operatörlere acil yamalama çağrısı yaptığında, bunu yapacak biri uyanık, müsait ve yetenekli olmalıdır.

Managed hosting, diğer şeylerin yanında, bu erişilebilirliği satın almanın bir yoludur. Aylık ücret, danışma belgelerini takip eden ve güncel build'leri sunan bir operasyon ekibi öder. Self-hosting parayı geri kazandırır ama yükümlülüğü eksiksiz devraldırır — ve Hetzner e-postasının altını çizdiği gibi, ham altyapı sağlayıcıları bu devri açıkça dile getirir.

Gönderi daha sessiz bir ilkeyi de gözler önüne seriyor: iş yüklerini riske göre ayırın. İnternete açık PHP uygulamaları, özel bir sunucuda çalışan otomasyondan farklı bir risk sınıfındadır ve ikisini birlikte konumlandırmak, en zayıf bileşenin çevresindeki her şeyin güvenliğini belirlemesi demektir.

Yazar ödünç almaya değer bir soruyla kapatıyor: sitelerinizde PHP'yi gerçekten kimin yamaladığını ve ne kadar hızlı yamaladığını biliyor musunuz? Yanıt belirsizse, bu haftaki açık ikilisi, bir sonraki duyuru gelmeden bunu öğrenmek için iyi bir nedendir.