PHP’deki iki kritik açık için acil yama yayımlandı

CVE-2026-109618 ve CVE-2026-109619 koduyla kayıtlara geçen açıklar, PHP çalıştıran bir web sitesine ya da internete açık bir sunucuya kimlik bilgisi olmadan girip verileri okumaya veya değiştirmeye olanak tanıyor. Web sitesi ve uygulama geliştirmede yaygın kullanılan açık kaynaklı programlama dili PHP, internete açık web’in yaklaşık yüzde 70’inde kullanılıyor.

Yamaların ardından dünya genelinde milyonlarca kişi sistemlerini güncellemek için harekete geçti. Bankalar, perakendeciler, oyun siteleri, çevrim içi mağazalar, hastaneler ve bazı kamu kurumları saldırıları önlemek için sunucularını kapattı, hükümetler de web sitesi olan şirket ve kişileri önlem almaya çağırdı.

2024’te bulunan, yamalanmayan açıklar

İki hata ilk kez 2024’te fark edildi, ancak o dönem istismar edilebilir görülmediği için yamalanmadı. Calif güvenlik araştırmacıları bu yıl PHP kodu üzerinde yaptıkları denetimde açıkları istismar etmenin yolunu buldu ve PHP Foundation’ı uyardı.

Calif, çalışmayı OpenAI ile bulut güvenliği şirketi Wiz’in Hack the Planet girişimi kapsamında yürüttü, Wiz de geliştirilen kavram kanıtı istismarlarını doğruladı. Araştırmacılar yapay zekâdan yardım aldıklarını, ancak işin büyük bölümünün PHP’nin kod tabanına ve istismar geçmişine dair kendi bilgilerine dayandığını açıkladı.

Amazon, açıkların yamalardan yaklaşık bir hafta önce kötüye kullanılmaya başlandığını tespit etti.

Ambargoya rağmen erken saldırılar

Vakıf, ayrıntıları ve yamaları sıkı bir ambargo altında önce büyük internet şirketleri ve barındırma firmalarıyla paylaştı. Amazon ise saldırganın açıkları nasıl öğrendiğinin belli olmadığını ve 17 Ekim’e kadar uzanan izlerin incelenmesi gerektiğini duyurdu.

PHP Foundation, bir şirketi yamaları ambargo bitmeden saatler önce yayına almakla suçladı, ancak bu Amazon’un fark ettiği bir haftalık hareketliliği açıklamıyor. Palo Alto Networks ve Trail of Bits, cuma akşamı itibarıyla açıklarla bağlantılı doğrulanmış sızmalar ve sızma sonrası faaliyetler tespit edildiğini bildirdi.

Tehlike yönlendiricilere kadar uzanıyor

Cloudflare CEO’su Matthew Prince, açıkların duyurulmasının ardından istismar girişimlerinde üstel bir artış gördüklerini söyledi. Güvenlik araştırmacıları dünya genelinde çok sayıda sistemin hâlâ yamasız olduğu konusunda uyarıyor.

WordPress, Drupal, Joomla ve Wikipedia’yı çalıştıran MediaWiki de PHP’ye dayanıyor. Dil ayrıca geliştirici araçlarında, komut satırı paketlerinde ve yönlendirici, depolama cihazı, güvenlik duvarı ile VPN gibi donanımların yazılımlarında bulunuyor, PHP’yi kendi ürünlerine entegre eden şirketlerin de güncelleme yapması gerekecek.