PHP projesi 21 Ekim 2026’da dört dalda birden güvenlik sürümü yayımladı: 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Sürümler, kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırmaya yol açabilen iki açığı kapatıyor: CVE-2026-109618 ve CVE-2026-109619. İki gün sonra, 23 Ekim’de, aynı bileşenle ilgili üçüncü bir kayıt (CVE-2026-115560) için bilgi notu yayımlandı.
Ne oldu
İki açık da PHP’nin istek yaşam döngüsündeki iç durum yönetimiyle ilgili. CVE-2026-109618’de bellek tükenmesi (out-of-memory) işleme, PHP’yi iç istek verisi yalnız kısmen hazırlanmışken kesebiliyor; istek temizliği sonrasında geçersiz veri geçerli sayılabiliyor. CVE-2026-109619’da ise bir isteğe ait iç durum, belleği serbest bırakıldıktan sonra yaşamaya devam edebiliyor; aynı işçi süreç üzerinde gelen sonraki istek, normal başlatma bu durumu sıfırlamadan önce bayat veriyi kullanabiliyor. Proje, 20 Ekim tarihli ön duyurusunda her iki açığa CVSS v4.0 ölçeğinde 9,2 puan verdi.
PHP’nin duyurusuna göre risk, web isteği karşılayan her kurulum için geçerli: PHP-FPM, Apache ile mod_php, php-cgi, FrankenPHP ve LiteSpeed. En yüksek risk mod_php tarafında; burada kimlik doğrulaması olmayan tek bir istek, uygulama kodu çalışmaya başlamadan önce açığı tetikleyebiliyor. 23 Ekim tarihli bilgi notu, üçüncü kayıt için alışılmadık bir ayar birleşimi gerektiğini belirtiyor: session.serialize_handler ayarının yapılandırmada php_binary ya da php_serialize olması, çalışma zamanında ini_set ile php’ye çevrilmesi ve yükleme ilerlemesi (upload progress) özelliğinin açık olması. Bu kaydın tam duyurusu bir sonraki sürümle gelecek.
Kimleri etkiler
PHP çalıştıran her web sunucusu kapsamda; bu, kurumsal içerik yönetim sistemlerinden e-ticaret altyapılarına ve iç uygulamalara kadar geniş bir alan demek. Düzeltme yalnız desteklenen dallar için yayımlandı: 8.2, 8.3, 8.4 ve 8.5. PHP 8.1 ve öncesi proje tarafından artık güncellenmiyor; güvenlik ekibi 7.4, 8.0 ve 8.1 için yalnız GitHub’da ayrı dallarda asgari kaynak yaması sundu. Linux dağıtımları ve uzun süreli destek sağlayıcıları düzeltmeyi kendi paketlerine geriye taşıyor; bu durumda sürüm numarası eski görünse de yama uygulanmış olabilir, dolayısıyla dağıtımın kendi güvenlik kaydına bakmak gerekiyor.
Yedekleme üreticisi Veeam, 22 Ekim’de ürünlerinde ve bulut hizmetlerinde PHP kullanılmadığını, dolayısıyla etkilenmediğini duyurdu. Başka üreticiler de kendi ürünlerinin durumunu ayrı ayrı yayımlıyor; PHP gömülü ürün kullanan kurumların bu duyuruları izlemesi gerekiyor.
Üretici ne öneriyor
PHP projesinin önerisi, desteklenen dalda düzeltilmiş sürüme geçmek. Hemen geçilemiyorsa duyuru, hiçbirinin tam koruma sağlamadığını vurgulayarak ara önlemler sıralıyor. CVE-2026-109619 için: session.upload_progress.enabled ayarını 0 yapmak ve tüm işçi süreçleri yeniden başlatmak; bu ayar php.ini, FPM havuzu ya da sunucu yapılandırmasından verilmeli, ini_set ya da .user.ini ile değil. PHP 8.5’te ayrıca fatal_error_backtraces ayarı 0 yapılmalı. CVE-2026-109618 için: memory_limit değerini uygulamanın değiştiremeyeceği biçimde (örneğin php_admin_value ile) belirlemek, post_max_size ve upload_max_filesize sınırlarını daraltmak ve istek sınırlarını web sunucusu ya da vekil katmanında uygulamak. Proje, bu sınırlamalar için RLIMIT_AS ya da RLIMIT_DATA kullanılmamasını ayrıca belirtiyor.
Duyurunun tamamı ve iki GitHub güvenlik kaydı (GHSA-w8hw-w9fx-j79w, GHSA-6wmf-4rv5-p3rp) php.net arşivinde; bağlantı yan sütunda. PHP 8.2 dalının 31 Aralık 2026’da ömrünü tamamlayacağı da aynı sayfada hatırlatılıyor.
