PHP ve GitLab Acil RCE Yamalarını Yayınladı, Zayıf CA Anahtarları ise TLS Güvenini Sarsıyor

Ekim, açık kaynak güvenliği için alışılmadık derecede zorlu bir ay oldu. dev.to'da yayınlanan ipt'nin OSS Ekim 2026 güncellemelerine göre, PHP runtime'ı ve GitLab kritik uzaktan kod yürütme (RCE) açıkları için acil yamalar gerektirirken, bir sertifika otoritesi olayı tarayıcı dışında TLS güveninin ne kadar kırılgan olabileceğini gözler önüne serdi.

PHP2Shell: Baskı altında düzeltilen iki runtime açığı

21 Ekim'de PHP, toplu olarak PHP2Shell olarak bilinen iki kritik güvenlik açığı için acil sürümler yayınladı. İlk açık olan CVE-2026-109618, motor out-of-memory durumuyla uğraşırken belleği bozuyor. İkinci açık olan CVE-2026-109619 ise hâlâ önceki isteklere ait belleğe referans veren eski global durumdan kaynaklanıyor. Derlemede belirtildiğine göre her iki açık da belirli koşullarda kimlik doğrulaması gerektirmeyen uzaktan kod yürütme sağlayabiliyor; Apache'nin mod_php'sine karşı çalışan istismarlar gösterildi ve PHP-FPM de etkileniyor.

Hatalar herhangi bir çerçevede değil yorumlayıcının kendisinde yer aldığından, bir sunucu Symfony, Laravel veya WordPress çalıştırsa bile, runtime'ın kendisi güncellenene kadar uygulama bağımlılıklarını yamalamak hiçbir işe yaramıyor. CISA, 26 Ekim'de her iki açığı da Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledi. Düzeltilmiş sürümler PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12.

23 Ekim'de açıklanan ve acil sürümlerin kapsamadığı üçüncü, daha dar kapsamlı bir açık olan CVE-2026-115560 ise oturum yapılandırması ile uygulama davranışının alışılmadık bir birleşimini gerektiriyor; PHP, bir düzeltme gelene kadar etkilenen kurulumlarda session.upload_progress.enabled seçeneğinin devre dışı bırakılmasını öneriyor. PHP Foundation'ın duyurusu ayrıca sınırlı kaynakların ve zor güvenlik kararlarının yanıtı yavaşlattığını da kabul ediyor — web'in en yaygın dağıtılan runtime'larından biri için düşündürücü bir not.

GitLab: 10.0 puanla derecelendirilen iki regex taşması

12 Ekim'de GitLab, CI/CD yapılandırmasındaki düzenli ifadeleri işleyen derleyicideki bir tamsayı taşması olan CVE-2026-97229'u yamaladı. Bir pipeline dosyasına özenle hazırlanmış bir regex yerleştirmek, GitLab sunucusunun kendisinde uzaktan kod yürütme tetikleyebiliyordu. Dokuz gün sonra şirket, aynı derleme yolunda ve çok daha geniş bir sürüm aralığına — potansiyel olarak GitLab 7.0'a kadar geriye — ulaşan ikinci bir tamsayı taşması olan CVE-2026-110264'yü açıkladı. Her ikisi de maksimum CVSS puanı olan 10.0'ı taşıyor.

Ön koşullar mevcut, özellikle saldırganın kötü niyetli CI/CD yapılandırması yerleştirmesini gerektiren ilk açık için. Yine de GitLab, bazı durumlarda kimlik doğrulaması olmadan istismarın mümkün olabileceğini doğruladı. İlk açığa yönelik saldırılar halihazırda gözlemlendi ve CISA bunu 29 Ekim'de kataloğuna ekledi. Düzeltmeler 12 ve 21 Ekim'de 19.5.1, 19.4.3, 19.3.6 sürümlerinde ve desteklenen birkaç eski dalda yayınlandı; self-managed yöneticilerinin derhal yükseltme yapması ve GitLab'ın yayınladığı tespit kurallarını incelemesi tavsiye ediliyor. Bahse konu riskler yüksek: ele geçirilen bir örnek (instance) genellikle kaynak kodu, pipeline gizli anahtarlarını, dağıtım kimlik bilgilerini ve container registry'lerini barındırır, bu da onu üzerinden inşa edilen her şeye açılan bir kapı haline getirir.

eMudhra: Yeniden oluşturulabilecek ara (intermediate) anahtarlar

Araştırmacılar, eMudhra tarafından işletilen sekiz ara sertifika otoritesinin (intermediate CA) kriptografik olarak zayıf anahtarlarla oluşturulduğunu, hem de özel anahtarların herkese açık sertifikalardaki bilgilerden yeniden oluşturulabilecek kadar zayıf olduğunu tespit etti. Bu da bir saldırganın güvenilir bir CA'dan geliyormuş gibi görünen sahte sertifikalar üretmesini sağlayabilirdi. eMudhra etkilenen ara sertifikaları iptal etti ve tarayıcı üreticileri korumaları yayınladı; şirkete göre bunların hiçbiri son kullanıcı (end-entity) sertifikası düzenlememişti.

Daha zorlu sorun ise tarayıcı gibi davranmayan yazılımlar. Container'lardaki, proxy'lerdeki ve uygulama runtime'larındaki birçok TLS istemcisi, iptal kontrollerini ve Certificate Transparency'yi atlayarak statik CA paketlerini kullanıyor. Örneğin Istio bir danışma belgesi yayınladı ve bağımlılıkları ile CA paketlerini yeniledi: iç mesh mTLS etkilenmiyor ancak herkese açık güvenilir CA'ları kullanan giden bağlantılar etkilenebilir. Derlemedeki pratik uyarıyı tekrarlamak yerinde olur — container'lar kendi eskimiş sertifikalarını taşıyorsa bir Kubernetes düğümünün trust store'unu yenilemek yeterli değildir; bu nedenle etkilenen runtime'ların ve imajların da güncellenmesi gerekiyor.

Ekim ayından diğer açık kaynak haberleri

NVIDIA, 13 Ekim'de eksiksiz Run:ai GPU orkestrasyon platformunu Apache 2.0 lisansıyla açık kaynak yaptı. Bileşenleri — gang scheduling, kotalar, adil paylaşım ve topoloji farkındalı yerleştirme sunan KAI Scheduler, GPU Fractioning Operator, kaynak yönetimi araçları ve Workload Map — bağımsız olarak benimsenebilir; ancak GPU paylaşımı hâlâ NVIDIA teknolojisine bağlı ve paketlenmiş Community Product ek lisans koşulları taşıyor. 19 Ekim'de yayınlanan bir danışma belgesi ise Open Policy Agent'ın imzalı policy bundle'ları için imza doğrulamasının belirli koşullar altında atlatılabileceğini ortaya koydu; bunun yanında llm-d 1.0 sürümüne ulaştı ve Pi, genişletilebilir yapay zeka ajanları oluşturmak için hafif bir alternatif olarak ortaya çıktı.

Neden önemli

Üç güvenlik hikayesi de aynı şeyi aşındırıyor: kendi kodunuzun altındaki katmanlara duyulan güven. PHP2Shell bu dilde yazılmış her çerçevenin altında, GitLab inşa pipeline'ının merkezinde ve eMudhra olayı TLS'in kendisinin altında yer alıyor. Üçünden ikisi zaten CISA'nın Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda; bu da yamalamayı önlemeden çok düzeltme haline getiriyor. CA olayı ayrıca tarayıcı düzeyi savunmaların, bir veri merkezindeki bağlantıların çoğunu kuran container'lara ve proxy'lere otomatik olarak genişlemediğini gösteriyor. PHP, self-managed GitLab ya da kendi trust store'unu taşıyan bir yazılım çalıştıran herkes, Ekim'in güncellemelerini isteğe bağlı değil, acil olarak görmeli.