PHP kimlik doğrulaması gerektirmeyen RCE açıklarını yamaladı, Foundation güvenlik yönetimindeki başarısızlığı kabul etti

PHP, 21 Ekim'de desteklenen dört dal genelinde güvenlik sürümleri yayımladı ve PHP Foundation bu sürümlerin arkasındaki sürecin yetersiz kaldığını kabul etti. dev.to'daki bir analize göre yamalanan açıklar, belirli koşullar altında kimlik doğrulaması olmadan uzaktan kod çalıştırmaya izin verebiliyordu ve projenin ilgili bildirimleri ele alışı 2024'e kadar uzanıyor.

21 Ekim sürümleri neyi düzeltti

Güncellemeler — PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 — CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen iki açığı kapatıyor. dev.to yazısına göre ilgili koşullar altında bu hatalar kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırmaya imkân tanıyor ve resmi duyuru tüm kullanıcıları güncellemeye çağırıyor. Etkilenen bir dalı çalıştıran herkes bunu isteğe bağlı bir bakım adımı değil, acil bir yama olarak görmeli.

23 Ekim'de açıklanan ikinci vektör

İki gün sonra proje bir ek duyuru yayımladı. dev.to yazısında anlatıldığı üzere duyuru, session upload progress özelliğinin session serialization handler'daki belirli bir runtime değişikliğiyle birleştiği, olasılığı düşük ek bir uzaktan kod çalıştırma yolunu kapsıyor. Kullanıcılar bir sonraki düzenli hata düzeltme sürümünü beklerken geçici azaltım yönergeleri yayımlandı ve yazar, yöneticilere bu duyuruyu 21 Ekim tavsiyesiyle birlikte okumalarını, orijinal güncellemenin meseleyi çözdüğünü varsaymamalarını öneriyor.

Düzeltmenin bu kadar uzun sürmesinin nedeni

Olayın en önemli kısmı Foundation'ın kendi hesap vermesi. dev.to yazısına göre bellek taşması (out-of-memory) sorununun ilk belirtileri 2024'te bulundu ve Foundation gecikmeyi tek bir teknik hataya değil, yetersiz kaynaklarla birleşen yapısal bir karar alma bozukluğuna bağlıyor. Güvenlik ekibinin kararları nasıl aldığına dair değişikliklerin sürdüğü, zor vakaların daha erken çözülmesi ve iş tıkandığında Foundation liderliğinin daha baştan devreye girmesi hedeflendiği bildiriliyor.

Dil ve ekosistem gelişmeye devam ediyor

Güvenlik haberi, istikrarlı bir gelişimin fonuna denk geliyor. dev.to analizine göre PHP 8.4 property hooks, asimetrik görünürlük (asymmetric visibility) ve yerel lazy objects özelliklerini getirdi; PHP 8.5 ise yerleşik URI extension'ı, pipe operatörünü ve nesne klonlanırken özellikleri değiştirmeye yönelik yeni davranışı ekledi. Projenin destek politikası uyarınca PHP 8.5 için aktif destek Aralık 2027'ye, güvenlik desteği Aralık 2029'a kadar planlanıyor.

Framework'ler de runtime'ı takip ediyor: Mayıs 2026'da yayımlanan Symfony 8.1, PHP 8.4 veya sonrasını gerektirirken Symfony 7.4 LTS için güvenlik desteği Kasım 2029'a kadar planlı; Laravel 13 ise Mart 2026'da yayımlanan bir destek takvimiyle geldi. Bahse konu olanlar framework kullanıcılarını çok aşıyor. Wikipedia'yı çalıştıran MediaWiki PHP ile yazılmış, WordPress'e ihtiyaç duyuyor ve Adobe Commerce sistem gereksinimlerinde desteklenen PHP sürümlerini yayımlıyor.

Bu bakımın ardında küçük bir ücretli ekip var. Yazıda atıf yapılan PHP Foundation'ın 2025 Impact and Transparency Report'u, yıl sonunda tam zamanlı veya yarı zamanlı çalışan 11 sözleşmeli geliştiricinin hata düzeltmeleri, güvenlik düzeltmeleri ve dil geliştirmesini topluluk katkılarıyla birlikte yürüttüğünü belirtiyor.

Yatırım zaten başlamıştı

Düzeltme çalışmaları bir kısmı Ekim açıklamalarından öncesine dayanıyor. Mayıs 2026'da Foundation, güvenlik bildirimlerine, koordinasyona ve PHP ekosistemi genelindeki işlere yardımcı olması için bir Alpha-Omega hibesiyle desteklenen bir Ecosystem Security Team duyurdu. dev.to yazarına izin verilirse sonraki adım sürdürülebilirlik: zor teknik ödünleşimlerle tıkanan düzeltmelerin net bir sahibi olmalı, takılan kararlar eskale edilmeli ve sürekli fonun araştırma, uygulama ve inceleme için mühendis zamanına dönüşmesi gerekiyor. Yazar, vaat edilen reformların bu ölçütler üzerinden değerlendirilmesi gerektiğini öne sürüyor.

Neden önemli

Wikipedia, WordPress ve ticari sitelerin büyük bir bölümünü çalıştıran bir runtime'da kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırmaya imkân tanıyan iki açık, tek başına bile önemli olurdu. Bu hikâyeyi takip etmeye değer kılan ise temeldeki sorunun teknik imkânsızlık değil, süreç ve kaynak yetersizlikleri nedeniyle 2024'ten beri çözülmeden beklemiş olmasının kabul edilmesi. Foundation sorunu adlandırdı ve yapısal düzeltmelere işaret etti — liderliğin daha erken devreye girmesi, kararlarda daha net sahiplenme ve fonlanan bir ekosistem güvenlik ekibi — ancak orijinal yamadan günler sonra ikinci bir saldırı vektörünü ortaya çıkaran 23 Ekim ek duyurusu, bir güvenlik sürümünün ardından ne kadar çok iş geldiğini gösteriyor. PHP'ye bağımlı ekipler için pratik çıkarımlar acil: 21 Ekim sürümlerini uygulayın, 23 Ekim azaltım yönergelerini kontrol edin ve vaat edilen süreç değişikliklerinin gerçekten tutup tutmadığını izleyin.