PHP iki kritik RCE açığını yamaladı; aynı gün Java, Node ve HTTP/3 düzeltmeleri geldi

Yığının tamamında tek günlük yama günü

21 Ekim 2026, 24 saat içine alışılmadık sayıda güvenlik olayı sığdırdı. PHP iki kritik uzaktan kod çalıştırma açığına yönelik düzeltmeler yayınladı, Oracle plan dışı bir Java uyarısı çıkardı, Node.js on açığı kapattı, HTTP/3 kütüphaneleri bir bellek amplifikasyonu hatasını yamaladı, bulut platformu Railway müşteri sırlarına erişildiğini açıkladı ve OVHcloud'un komut satırı aracının iki gün önce kötü amaçlı yazılımla birlikte yayınlandığı ortaya çıktı. Bir dev.to güvenlik derlemesi ayrıntıları ve her kalemin gerektirdiği adımları topluyor.

PHP2Shell: iki yıllık hata sonunda yamalandı

PHP2Shell adı verilen ve CVE-2026-109618 ile CVE-2026-109619 olarak takip edilen iki PHP açığı, 9.2'lik CVSS v4.0 puanı taşıyor. Düzeltilmiş sürümler 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 — ancak paketi kurmak işin yalnızca yarısı. PHP-FPM worker'ları ve Apache süreçleri belleğe yükledikleri kodu tutmaya devam eder, bu yüzden o servisler yeniden başlatılmadan düzeltme devreye girmez.

PHP Foundation'a göre ilk işaretler 2024'te görüldü; Foundation'ın sözleşmeli bir çekirdek geliştiricisi, Quarkslab'ın 2024 denetiminden kalan bir sorun üzerinde çalışırken bellek yetersizliği sorunu fark etti. O zamanlar bir saldırı vektörü tespit edilemedi. Güvenlik ekibi sonraki aylarda birkaç düzeltme taslağı hazırladı ama birine karar veremedi: The Next Web'ın aktardığına göre biri geriye dönük uyumluluğu bozuyordu, biri yeni bir hizmet reddi riski getiriyordu ve biri binlerce uzantıda değişiklik gerektirecekti. Foundation bu çıkmazı "yapısal bir başarısızlık" olarak niteledi ve güvenlik kararlarının bundan sonra mutabakatla değil çoğunlukla alınacağını söyledi.

İki ekip, bir yeniden keşif ve sızıntılı bir sürüm

Ağustos 2026'da iki ekip bağımsız olarak eski hatayı çalışan bir saldırıya dönüştürdü. Wall Street Journal'a göre OpenAI'nin "Patch the Planet" programının parçası olarak Calif adlı araştırmacı, hatayı GPT-5.6 Sol kullanarak buldu. Wiz, ilk bulgusunun 19 Ağustos'ta geldiğini, Drupal ve WordPress'e karşı kimlik doğrulamasız RCE'nin 20–21 Ağustos'ta doğrulandığını ve raporların 24 Ağustos'ta PHP'ye ulaştığını söylüyor. PHP raporları 21 Eylül'de kabul etti ve koordineli bir düzeltmeye başladı.

O koordinasyon yıprandı. Amazon Threat Intelligence, PHP2Shell kullanım girişimini 17 Ekim'de, ifşadan dört gün önce MadPot honeypot'larında gözlemledi ve aktörün ayrıntıları nasıl öğrendiği hâlâ bilinmiyor. 20 Ekim'de CVE kimlikleri forumlarda ve sosyal medyada yanlış bir sürüm saati ve yanlış bir 10.0 puanıyla dolaştı ve Calif, çalışan proof of concept'inin videosunu yanıltıcı biçimde yayınladı. Sürüm gününde Chainguard, yamalı imajları 07:41 UTC'de, altı saatten fazla erken yayınladı — Foundation'ın koordineli bildirimi hiçe saydığını söylediği bir hamle. Düzeltmeler 14:00 UTC'de geldi. watchTowr ve Cloudflare ardından saldırı trafiği gördü ve Cloudflare WAF kuralları yayınladı, ancak başarılı bir ele geçirme doğrulanmadı.

Aynı 24 saatte Java, Node.js ve HTTP/3

Oracle'ın sorunu Java Secure Socket Extension'da. OpenJDK'nın 21 Ekim tarihli danışma belgesine göre CVE-2026-91403 (CVSS 9.1), sekiz ara CA sertifikasının ele geçirilmesinin ardından ortaya çıktı ve JDK 8, 11, 17, 21, 25 ve 27'yi etkiliyor. Çözüm bir JDK güncellemesi ya da bu mümkün değilse blocked.certs dosyasının değiştirilmesi ve sertifika iptal kontrolünün etkinleştirilmesi.

Node.js on CVE kapattı; en kötüsü Brotli ile ilgili uzaktan kod çalıştırma sorunu olan CVE-2026-111497'di; düzeltilmiş sürümler 22.23.4, 24.22.1 ve 26.12.1.

FoxIO ise HTTP/3'ün başlık sıkıştırması QPACK'ta bir bellek amplifikasyonu açığı sınıfını yayınladı ve The Hacker News tarafından özetlendi. Test edilen on HTTP/3 yığınından yedisi etkilenmişti. Düzeltmeler arasında quic-go 0.57.0, quiche 0.29.3 ve lsquic 4.9.0 var; derleme, Bun kullanıcılarına şimdilik HTTP/3'ü devre dışı bırakmalarını tavsiye ediyor.

Railway ve OVHcloud'da sırların açığa çıkması

dev.to derlemesine göre Railway, QH8L8B3E numaralı olay kapsamında müşteri sırlarına yetkisiz erişim olduğunu açıkladı ve müşterilere platformda saklanan tüm ortam değişkenlerini ve API token'larını döndürmelerini tavsiye etti. Ayrı olarak, 19 Ekim'de yayınlanan OVHcloud CLI 0.11.0'dan 0.15.0'a kadar olan sürümleri kötü amaçlı yazılım içeriyordu; aracı o gün kuran herkes diskteki tüm sırları döndürmeli ve 0.16.0'a yükseltmeli.

Neden önemli

PHP web'in büyük bir bölümünü çalıştırıyor ve dil çekirdeğindeki kimlik doğrulamasız bir RCE — sızan bir proof of concept ve saatler içinde gelen tarama trafiğiyle birlikte — yama ve yeniden başlatmayı rutin değil gerçekten acil hale getiriyor. En yaygın hata ince kalacak: paketi yükseltip PHP-FPM'yi veya Apache'yi yeniden başlatmamak, sunucuları eski bellek içi kodla açıkta bırakıyor. PHP'nin ötesinde, bu gün iki daha geniş kaymayı gösteriyor: yapay zekâ destekli araştırma, bir hatanın yeniden keşfi ile silahlandırılması arasındaki süreyi kısaltıyor ve tedarikçiler erken yayınladığında, ayrıntılar forumlara sızdığında koordineli bildirim normları gözle görülür biçimde zorlanıyor. Railway ve OVHcloud olayları da daireyi, bir zamanlar nadir bir acil durum tatbikatı olan sır döndürmenin yazılım işletmenin rutin bir parçası hale geldiği hatırlatmasıyla kapatıyor.