- Aktif istismar
- Yama var
- Son 7 gün
- CWE-416
- CWE-755
- CWE-824
- CWE-1325
- CWE-1419
CVE-2026-109619
PHP'de eski global durum kaynaklı uzaktan kod çalıştırma açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- php
Yönetici özeti
PHP'deki bu kritik açık, saldırganların web sunucularınızda dışarıdan komut çalıştırmasına izin verebilir ve CISA tarafından aktif olarak istismar edildiği doğrulanmıştır. Müşteri verileri ve hizmet sürekliliği risk altındadır. Güncelleme gecikmeden yapılmalıdır.
ÖzetTürkçe
PHP, istek belleğine geçici olarak işaret eden çeşitli global durum bilgileri tutar. Bazı senaryolarda bu durum doğru sıfırlanmaz veya sıfırlandıktan sonra yeniden doldurulur; böylece bellek serbest bırakıldıktan sonra bile geçersiz (stale) bir başvuru kalır. Sonraki istekler tam olarak başlatılmamış bu durumu okuyabilir veya ona göre dallanabilir. Etkilenen sürümler 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 öncesindeki PHP sürümleridir.
Saldırgan ne yapabilir?
Saldırgan, ağ üzerinden kimlik doğrulaması olmadan hedef sunucuda uzaktan kod çalıştırabilir. Bu da sistemin gizliliğinin, bütünlüğünün ve erişilebilirliğinin tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
PHP has various global state that temporarily points into request memory. In some scenarios, global state may not be correctly reset, or may be repopulated after being reset. The global state may then refer to request memory even after it has been freed. Subsequent requests may read or branch on this stale state before it is fully initialized. Multiple strategies can trigger this condition and produce remote code execution (RCE).
Üreticinin geçici önlemi (İngilizce)
Check the GitHub Security Advisory for mitigation strategies.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Ne yapmalı?
- PHP'yi sürüm dalınıza uygun düzeltilmiş sürüme yükseltin: 8.2.35, 8.3.36, 8.4.27 veya 8.5.12 (ya da daha yenisi). Üretici
- Hemen yükseltme yapamıyorsanız satıcının yönlendirdiği GitHub Güvenlik Bildirimi'ndeki geçici önlem yöntemlerini uygulayın. Üretici
- CISA'nın gereği doğrultusunda satıcı talimatlarına göre önlemleri uygulayın, varlıklarınızın internet erişimini değerlendirin; önlemler mümkün değilse ürünün kullanımını durdurun. CISA
- Güncelleme sonrası PHP-FPM, Apache modülü gibi ilgili PHP süreçlerini yeniden başlatarak düzeltilmiş sürümün çalıştığını doğrulayın. Genel öneri
Ek önlemler
- Sunucularınızda ve paylaşımlı barındırma ortamlarında çalışan tüm PHP sürümlerinin envanterini çıkarın ve etkilenenleri önceliklendirin. Genel öneri
- Sistemlerde olası ele geçirilme belirtileri için web sunucusu ve PHP günlüklerini, beklenmeyen dosya ve süreç oluşumlarını inceleyin. Genel öneri
- İnternete açık PHP uygulamalarının önüne web uygulama güvenlik duvarı (WAF) koyun ve gereksiz erişimleri kısıtlayın. Genel öneri
- PHP süreçlerini en az yetkiyle çalıştırın ve web sunucusu kullanıcısının dosya sistemi erişimini sınırlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| PHP Group PHP | < 8.2.35 | 8.2.35 |
| < 8.3.36 | 8.3.36 | |
| < 8.4.27 | 8.4.27 | |
| < 8.5.12 | 8.5.12 |
Kaynaklar20 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…hp-src/security/advisories/GHSA-6wmf-4rv5-p3rp Üretici bülteni
- openwall.com/lists/oss-security/2026/10/21/16 Üçüncü taraf
- openwall.com/lists/oss-security/2026/10/21/17 Üçüncü taraf
- openwall.com/lists/oss-security/2026/10/21/23 Üçüncü taraf
- openwall.com/lists/oss-security/2026/10/21/7 Üçüncü taraf
- openwall.com/lists/oss-security/2026/10/22/14 Üçüncü taraf
- openwall.com/lists/oss-security/2026/10/22/15 Üçüncü taraf
- openwall.com/lists/oss-security/2026/10/22/16 Üçüncü taraf
- openwall.com/lists/oss-security/2026/10/22/19 Üçüncü taraf
- openwall.com/lists/oss-security/2026/10/22/2 Üçüncü taraf
- openwall.com/lists/oss-security/2026/10/22/20 Üçüncü taraf
- openwall.com/lists/oss-security/2026/10/23/4 Üçüncü taraf
- cert-portal.siemens.com/productcert/html/ssa-566512.html Üçüncü taraf
- wiz.io/blog/php2shell-php-rce Üçüncü taraf
- arcticwolf.com/…s-enable-unauthenticated-remote-code-execution Diğer
- php2shell.delftintellab.com Diğer
- cisa.gov/known-exploited-vulnerabilities-catalog Diğer
- cisa.gov/…vulnerabilities-php-require-immediate-patching Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.