PHP yamaları yayımlandı, güncellemeler sürüyor: Wiz CTO’su manuel müdahalenin sınırlarına dikkat çekti

İki PHP açığına karşı bazı şirket ve kurumlar web sitelerini kapattı; bazıları güvenlik yamaları uygulanana kadar hizmetlerini devre dışı bıraktı. PHP geliştirme ekibi düzeltmeleri yayımladı ancak bunları farklı işletim ortamlarına yükleme çalışmaları sürüyor.

TechCrunch, 29’unda yayımladığı podcast tanıtımında, dünya genelindeki web sitelerinin yaklaşık yüzde 70’inin kullandığı açık kaynaklı PHP dilinde bu güvenlik açıklarının ortaya çıktığını aktardı. Bu oran PHP’nin kullanım yaygınlığını gösteriyor; saldırılardan etkilenen sitelerin oranını değil.

PHP geliştirme ekibi, 21’inde yayımladığı güvenlik duyurusunda, oturum açmamış saldırganların sunucuda kod çalıştırmasına imkân verebilecek iki açığın giderildiğini bildirdi. Düzeltmeler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde yer alıyor.

CVE-2026-109618 ve CVE-2026-109619 numaralarıyla kayda geçen açıkların ilki, bellek yetersiz kaldığında istek verilerinin düzgün biçimde temizlenmemesinden kaynaklanıyor. İkincisinde ise önceki isteğin dahili durumu sonraki isteğe taşınıyor.

Uzaktan kod çalıştırma, saldırganın dışarıdan savunmasız bir sunucuda komut yürütmesine imkân veren bir saldırı türü. PHP geliştirme ekibi, web isteklerini işleyen PHP kurulumlarına güvenlik güncellemesinin uygulanmasını tavsiye etti.

TokenPost daha önce yamalar yayımlanmadan önce Avrupa’daki kamu kurumlarına ait bazı sitelerin hizmeti durdurduğunu ve PHP 7 ile PHP 5 kullanan ortamlarda yama açığı bulunduğunu bildirmişti. Düzeltmelerin yayımlanmasının ardından süreç, güncellemelerin her işletim ortamında gerçekten uygulanması aşamasına geçti.

Güvenlik duyurusunda düzeltmenin yayımlanması, tüm sunucuların güncellendiği anlamına gelmiyor. Koruma, ilgili düzeltmenin her işletim ortamında uygun sürüme uygulanıp uygulanmadığına bağlı.

Wiz’in maruziyet yönetimi ve uygulama güvenliği bölümünün CTO’su Tomer Schwartz, TechCrunch podcast’inde açıkların giderilmesine katılım deneyimini paylaştı. Wiz, OpenAI, güvenlik araştırma grubu Calif ve PHP geliştirme ekibiyle birlikte düzeltme çalışmalarında yer aldı.

Podcast’te açıkların giderilme sürecinin iç işleyişi ve erken aşamadaki girişimlerin güvenliği nasıl tasarlayabileceği ele alındı. Ürün geliştirme aşamasında güvenliğin nasıl hesaba katılacağı da konuşulan konular arasındaydı.

Schwartz ve sunucu, açıkları tek tek elle düzeltmenin kuruluşlar büyüdükçe neden zorlaştığını da tartıştı. Bu konu, düzeltmeler yayımlandıktan sonra her işletim ortamında güncelleme yapılması gerekliliğiyle bağlantılı.

Açıkları bulan araştırmacılar, yapay zekânın yeni güvenlik açıklarını bulma ve bunlardan yararlanma hızını değiştirebileceğini düşünüyor. Podcast’te, bu değişimin güvenlik müdahaleleri açısından ortaya çıkardığı güçlükler de düzeltme süreciyle birlikte ele alındı.

Wiz, kendi gözlem verilerinde, açıkların duyurulmasının ardından birkaç gün içinde internete açık ve savunmasız cihazların günlük benzersiz sayısının yaklaşık yüzde 67 azaldığını bildirdi. Bu sayı, Wiz’in gözlemlediği cihazlardaki değişimi gösteriyor.

Dolayısıyla yüzde 67, dünya genelindeki tüm PHP sunucularında açıkların giderilme oranını veya saldırıların başarı oranını ifade etmiyor. Bu oran, Wiz’in internette tespit ettiği savunmasız cihaz sayısındaki değişimle sınırlı.

Wiz aynı verilerde, tespit ettiği kötüye kullanım girişimlerinin hiçbirinin saldırı tamamlanana kadar başarılı olmadığını da bildirdi. Bu sonuç yalnızca Wiz’in gözlem kapsamı için geçerli.