Saldırılar başlayınca PHP iki kritik güvenlik açığı için yama yayımladı

PHP, açıkları hedef alan saldırı haberlerinin ardından iki kritik uzaktan kod yürütme açığı için düzeltmeleri yayımladı. PHP güvenlik ekibi, kullanıcılara yamaları mümkün olan en kısa sürede uygulamalarını önerdi.

CVE-2026-109618 ve CVE-2026-109619 kodlu açıklar 9,2/10 önem derecesi aldı. Açıklardan biri bellek yetersizliği yönetimiyle, diğeri serbest bırakılmış belleğin yeniden kullanılmasıyla ilgili. Düzeltmeler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde yer alıyor. PHP, Linux dağıtımlarına ve uzun süreli destek sağlayıcılarına yamaların önceden ulaştırıldığını söyledi ve kullanıcılara güncellenmiş paketleri kontrol etmelerini önerdi.

Reuters'a göre, açıklarla ilgili bilgilerin düzeltmeler yayımlanmadan iki gün önce sızmasının ardından Avrupa'daki devlet, sağlık ve eğitim siteleri geçici olarak kapandı. Cloudflare CTO'su Dane Knecht, şirketin ilk saldırıları gördüğünü ve azaltma önlemlerini güncellediğini söyledi.

PHP, PHP-FPM, Apache with mod_php, php-cgi, FrankenPHP ve LiteSpeed dahil olmak üzere web isteklerini işleyen kurulumların risk altında olduğunu belirtti. PHP, doğrulanmamış bir isteğin uygulama kodu çalışmadan önce saldırıyı tetikleyebildiğini gösteren bir istismara dayanarak en yüksek riskin mod_php'de olduğunu bildirdi.

PHP 8.1 ve daha eski sürümler olağan sürüm süreci kapsamında düzeltme almayacak. Proje, kaynaktan derleme yapanlara veya uzun süreli destek sağlayıcısına erişimi olmayanlara yardımcı olmak için PHP 7.4, PHP 8.0 ve PHP 8.1 için sınırlı kaynak kodu geri taşımaları sağladığını söyledi. PHP, bazı azaltma önlemlerini de sıraladı ancak bunların tam bir çözüm olmadığını belirtti.