Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • Son 7 gün
  • CWE-416
  • CWE-755
  • CWE-824
  • CWE-1325
  • CWE-1419

CVE-2026-109618

PHP'de bellek yetersizliği (OOM) durumunda bozulma yoluyla uzaktan kod çalıştırma

PHP Group PHP

Kritik 9,2 CVSS 4.0
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
7 gün
Kaydı açan
php
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 26 Eki 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 29 Eki 2026.

Yönetici özeti

Bu açık, PHP çalıştıran sunucuların internet üzerinden ele geçirilmesine izin verebilir ve CISA tarafından aktif olarak istismar edilen açıklar listesine eklenmiştir. Web siteleriniz ve bunlarda tutulan veriler risk altındadır. PHP sürümlerinin gecikmeden güncellenmesi gerekir.

ÖzetTürkçe

PHP, bellek yetersizliği (OOM) hatalarında geçerli bağlamdan çıkıp isteğin işlenmesini durdurmak için longjmp kullanır. Bazı bağlamlar bu durumu doğru ele almaz ve bellek ayırma işleminden önce istek belleğini başlatılmamış halde bırakır. İstek temizleme prosedürü bu belleği okuyabilir veya bu belleğe göre dallanabilir. Birden fazla OOM stratejisi bu durumu tutarlı biçimde tetikleyerek uzaktan kod çalıştırmaya yol açabilir. Etkilenen sürümler PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 öncesi sürümlerdir.

Saldırgan ne yapabilir?

Saldırgan ağ üzerinden hedef sunucuda rastgele kod çalıştırabilir; bu da sistemin gizlilik, bütünlük ve erişilebilirlik açısından tamamen ele geçirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

PHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. Some contexts may not properly account for this scenario and leave request memory in an uninitialized state before performing an allocation. The subsequent request cleanup procedure may read or branch on this memory. Multiple OOM strategies can consistently trigger this condition and lead to remote code execution (RCE).

Üreticinin geçici önlemi (İngilizce)

Check the GitHub Security Advisory for mitigation strategies.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. PHP'yi sürüm dalınıza uygun düzeltilmiş sürüme yükseltin: 8.2.35, 8.3.36, 8.4.27 veya 8.5.12 (ya da daha yenisi). Üretici
  2. Hemen yükseltme yapamıyorsanız, satıcının GitHub Güvenlik Bildirimi'nde yer alan azaltma yöntemlerini uygulayın. Üretici
  3. CISA'nın gerektirdiği şekilde, satıcı talimatlarına uygun azaltmaları uygulayın ve her varlığın internete açıklığını değerlendirin; CISA'nın BOD 26-04 yama yönergelerine ve adli triyaj gereksinimlerine uyun. CISA
  4. Azaltma yöntemleri uygulanamıyorsa, ürünün kullanımını durdurmayı değerlendirin. CISA

Ek önlemler

  • Sunucularda olası istismar belirtilerini (beklenmedik süreçler, yeni veya değiştirilmiş dosyalar, olağan dışı giden bağlantılar) inceleyin; istismar şüphesi varsa adli inceleme yapın. Genel öneri
  • PHP çalıştıran sistemlerin envanterini çıkarın ve internete açık olanları önceliklendirerek yamalayın. Genel öneri
  • Yama uygulanana kadar PHP uygulamalarına erişimi güvenlik duvarı veya WAF ile kısıtlayın ve bellek tükenmesi hatalarını izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
PHP Group PHP < 8.2.35 8.2.35
< 8.3.36 8.3.36
< 8.4.27 8.4.27
< 8.5.12 8.5.12

Kaynaklar11 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.