PHP’de iki kritik güvenlik açığı 21’inde yamalandı: “Web’in %70’i” kullanım oranı

Sunucuda kimlik doğrulaması olmadan kod çalıştırılmasına imkân verebilen iki PHP güvenlik açığı, 21’inde (yerel saatle) yamalandı. Her iki açık da CVSS v4.0’a göre 9,2 puan aldı. OpenAI ve güvenlik şirketi Wiz, açıkları ayrı ayrı tespit edip bildirdiklerini açıkladı.

PHP geliştirme ekibi 21’inde PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. Web isteklerini işleyen PHP kurulumlarının etkilenebileceği belirtildi. Açıkların kimlikleri CVE-2026-109618 ve CVE-2026-109619. İlk açıkta, bellek yetersizliği işlenirken dahili veriler hatalı durumda kalabiliyor. İkincisinde ise daha önce serbest bırakılmış belleğe sonraki bir istek yeniden başvurabiliyor.

Açıkların keşfedilme süreci tek bir tarafın çalışmasına bağlanamıyor. OpenAI, Calif’in GPT-5.6 Sol’u kullanarak açıkları bulduğunu bildirdi. Wiz ise araştırma ekibinin açıkları 19 Ağustos’ta tespit ettiğini açıkladı. PHP Vakfı, Calif ve OpenAI’dan gelen ilk bildirimi 11 Ağustos olarak kaydetti. Wiz’in bildirimi 24 Ağustos tarihli; iki bildirim arasında 13 gün bulunuyor.

Wiz’in kullandığı “web sitelerinin %70’i” ifadesi, PHP’nin kullanım oranını anlatıyor. WordPress, Drupal ve Joomla gibi PHP tabanlı hizmetlerin etkilenebileceğine işaret ediyor. Bu oran, sitelerin aynı bölümünün savunmasız olduğu ya da ihlal edildiği anlamına gelmiyor; böyle bir sayı açıklanmadı.

Yayın öncesi saldırı girişimi yalnızca honeypot’ta görüldü

Amazon’un($AMZN) AWS tehdit istihbaratı ekibi, kendi honeypot sisteminde 17’sinde açığı kullanma girişimi tespit ettiğini açıkladı. Saldırganların kamuya açıklanmadan önce bu bilgiyi nasıl elde ettiğinin belirsiz olduğunu da ekledi. Honeypot, saldırıları çekmek amacıyla kurulan bir tuzak sistemdir. Bu tespit, gerçek hizmet sunucularının ihlal edildiğini veya verilerin sızdırıldığını göstermiyor.

PHP Vakfı, açıklar duyurulduğunda izlediği herkese açık PoC’ler (kavram kanıtı kodları) arasında çalışan bir istismar aracı bulamadığını bildirdi. AWS’nin tespiti ile vakfın incelemesi farklı gözlem alanlarına dayandığından doğrudan karşılaştırılamıyor.

Duyuru takvimi öne çekildi. Açıkların kimlikleri, kamuya açıklanmadan önce çevrimiçi forumlarda ve sosyal medyada dolaşmaya başlayınca PHP Vakfı duyuruyu 22’sinden 21’ine aldı. Vakıf, bu süreçte sınırlı saldırı ayrıntıları içeren bir videonun yayıldığını ve derleme imajlarının yama yayımlanmadan altı saatten fazla önce dağıtıldığını açıkladı.

Sunucuları ayırma tavsiyesi ve hizmet kesintisi

Yamayı hemen uygulayamayan sunucular için Avrupa ve Birleşik Krallık’taki güvenlik kurumları, sistemlerin ortak ağlardan ayrılmasını veya kapatılmasını tavsiye etti. Internet Archive da açıkların etkisiyle bir süre çevrimdışı kaldı; yama sonrasında yeniden hizmete girdi.

PHP geliştirme ekibi, mümkün olan en kısa sürede yamalı sürüme geçilmesini önerdi. PHP Vakfı, geçici yapılandırma değişikliklerinin belirli saldırı yollarına maruz kalmayı azaltabileceğini, ancak tam çözüm olmadığını vurguladı. PHP 8.1 ve daha eski sürümler proje kapsamında düzenli güvenlik güncellemesi almıyor. Bazı dağıtımlar ve uzun süreli destek sağlayıcıları ayrı yamalar yayımlayabileceğinden, eski sürüm kullananların sağlayıcılarına bu yamaların mevcut olup olmadığını sorması gerekiyor.

OpenAI’ın Daybreak programında gelir etkisi belirsiz

OpenAI, Daybreak’i onaylı savunma kuruluşlarına açık tespiti, sınıflandırması ve yama doğrulaması için araçlar sunan bir program olarak tanıttı. Şirket, PHP müdahalesinde Calif, Wiz ve bakım sorumlularıyla çalıştığını açıkladı. Fortune, OpenAI’ın bu tür güvenlik araçlarından gelir elde etmeye hazırlandığına dikkat çekti. Ancak bu olayın Daybreak’in ücretli gelirini ne ölçüde artırdığı resmi kaynaklarda doğrulanmadı.

PHP Vakfı, açıkların kökenindeki bazı işaretlerin 2024’te yapılan harici güvenlik denetiminde görüldüğünü belirtti. O dönemde uzaktan kod çalıştırmaya yönelik somut bir yol bulunamadı. Uyumluluk ve hizmet engelleme riski gibi ödünleşimler nedeniyle düzeltmenin de geciktiği açıklandı. Vakıf ayrıca PHP’nin uzun süredir küçük bir güvenlik ekibine ve bakım kadrosuna dayandığını ifade etti.

Çevrimiçi toplulukların tepkisi farklılık gösterdi. Reddit’teki PHP ve sistem yöneticisi topluluklarında yamanın uygulanıp uygulanmadığı, barındırma sağlayıcılarının tutumu ve yayın öncesi saldırı tespiti nedeniyle günlük kayıtlarının incelenmesi gerekip gerekmediği tartışıldı. Bazı kullanıcılar kendi kayıtlarında saldırı izi bulamadıklarını yazdı; bunlar kişisel gözlemler olup genel durumun göstergesi değil.

Hacker News’te duyuru zamanlaması ve yayın öncesi yama koordinasyonu eleştirilirken, kurumsal tanıtım mesajlarına ilişkin kaygılar da dile getirildi. Buna karşılık bazı yorumlarda, bildirimde bulunanlardan çok düzeltme sürecindeki gecikmeye ve bakım kaynaklarının yetersizliğine odaklanılması gerektiği savunuldu.

PHP tabanlı siteleri işletenlerin öncelikle kullandıkları PHP sürümünün 8.2–8.5 arasındaki yamalı sürümlerden biri olup olmadığını kontrol etmesi gerekiyor. Alternatif olarak dağıtım veya barındırma sağlayıcısının eski sürümlere güncel güvenlik düzeltmelerini aktaran bir backport yayımlayıp yayımlamadığı doğrulanmalı.