PHP bellek bozulması açıkları: CVE-2026-109618 ve CVE-2026-109619

PHP’nin web isteklerini işleyen sürümlerinde iki bellek bozulması açığı bulundu. CISA ve Wiz Research bu ikiliye “php2shell” adını veriyor. CISA ikisini 26 Ekim 2026’da aktif istismar listesine (KEV) ekledi. Sunucunda PHP çalışıyorsa, PHP’yi arka planda kullanan yazılımlar dahil, bunu hemen kontrol etmen gerekiyor.

Kısa cevap: CVE-2026-109618 ve CVE-2026-109619, PHP’de bellek bozulmasına yol açan iki açıktır. NVD’ye göre ikisi de kimlik doğrulama olmadan uzaktan kod çalıştırmaya (RCE) imkân verebilir; CVSS 4.0 puanları 9.2, önem derecesi kritik. PHP 8.2.35, 8.3.36, 8.4.27 ya da 8.5.12 sürümüne güncellemek tek tam çözüm. 8.1 ve daha eski sürümlerde ise CISA, yama gelene kadar PHP tabanlı sistemleri çevrimdışı almayı öneriyor.

Ne oldu?

PHP, bellek yetersiz kaldığında (OOM) isteği longjmp() ile kesip çıkar. NVD’nin açıklamasına göre bazı bağlamlar bu durumda istek belleğini başlatılmamış bırakıyor. İstek temizlenirken bu bellek okunuyor ya da bu bellek üzerinden dallanma yapılıyor. İkinci açıkta ise PHP’nin bazı genel durumları istek belleğini gösteriyor. Bu durum her zaman sıfırlanmıyor, bazen de yeniden doldurulabiliyor. Sonraki istekler bu bayat durumu okuyabiliyor.

NVD iki açığı da CWE-416 olarak sınıflandırıyor. Bu, serbest bırakılmış belleğe erişim türü bir zayıflık. Kısacası: program, artık geçerli olmayan bir bellek alanını kullanıyor, bu da kontrolsüz kod çalıştırmaya kapı açabiliyor.

Açıklar 21 Ekim 2026’da yayımlandı. CISA beş gün sonra, 26 Ekim’de ikisini de KEV listesine ekledi. Bu listeye giren açıklar için CISA aktif istismarın doğrulandığını belirtiyor; yani yayından bir hafta geçmeden saldırılarda kullanılmaya başlandı.

CISA’nın KEV açıklaması önemli bir ayrıntı veriyor: Linux çekirdeğindeki CVE-2026-46300 bu iki PHP açığıyla zincirlenerek web kabukları yerleştirmek ve root olarak komut çalıştırmak için kullanılabiliyor. Bu yüzden PHP’yi güncellerken Linux çekirdeği açığını da kontrol et.

Kimler etkileniyor?

Özellik	Bilgi
CVE kimlikleri	CVE-2026-109618, CVE-2026-109619
Ürün	PHP (PHP Group)
CVSS puanı ve önem	9.2, kritik (CVSS 4.0)
Zayıflık türü (CWE)	NVD: CWE-416. KEV kaydında ek olarak CWE-755, CWE-824, CWE-1325, CWE-1419
NVD yayın tarihi	21 Ekim 2026
CISA KEV’e eklenme	26 Ekim 2026
CISA son tarihi	29 Ekim 2026
Etkilenen sürümler	8.2.35 öncesi 8.2; 8.3.36 öncesi 8.3; 8.4.27 öncesi 8.4; 8.5.12 öncesi 8.5
Düzeltilen sürümler	8.2.35, 8.3.36, 8.4.27, 8.5.12
Fidye yazılımı kampanyasında kullanımı	Bilinmiyor (KEV kaydında “Unknown”)
8.1 ve daha eski	Kaynaklarda düzeltilmiş sürüm yok. CISA çevrimdışı almayı öneriyor

Açık uygulama kodunda değil, PHP’nin kendisinde. Wiz Research’ün analizine göre basit bir “Hello World” uygulaması bile etkilenebilir. CISA, PHP’nin Apache mod_php, PHP-FPM, php-cgi, FrankenPHP ve LiteSpeed ile çalışan sürümlerini etkilenen olarak listeliyor.

Ne yapmalısın?

1. Sunucudaki sürümü kontrol et: php -v. Web sunucusunun kullandığı PHP, komut satırındakinden farklı olabilir. Web tarafında çalışan sürümü ayrıca doğrula.
2. Sürüm 8.2.35, 8.3.36, 8.4.27 ya da 8.5.12’den eskiyse güncelle. Paylaşımlı hosting ya da yönetim paneli kullanıyorsan PHP sürüm seçimini panelden ya da sağlayıcından öğren.
3. PHP’yi kendin kurmadıysan başka bir yazılımın içinde gömülü PHP olabilir. CISA, bu durumu da envanterinde saymanı öneriyor.
4. Sürümün 8.1 ya da daha eskiyse, güncelleyene kadar PHP tabanlı sistemleri çevrimdışı al. Bu CISA’nın önerisi.
5. Hemen güncelleyemiyorsan geçici önlemler uygula. Bunlar tam çözüm değil:
   • PHP’nin kendi danışmanındaki asıl önlem: memory_limit=-1 ayarla ve bütün PHP süreçlerini yeniden başlat. Hiçbir havuz, dizin ya da uygulama ayarının sonlu bir bellek sınırını geri getirmediğinden emin ol. Danışman bunun tam çözüm olmadığını belirtiyor.
   • post_max_size değerini makul tut ve istek boyutunu ön uçta da sınırla.
   • Uygulaman çok parçalı (multipart) form kullanmıyorsa bu tür istekleri ön uçta engelle.
   • PHP 8.5’te fatal_error_backtraces=0 ve session.upload_progress.enabled=0 ayarlarını uygula. Ayarları değiştirdikten sonra tüm PHP süreçlerini yeniden başlat.
   • RLIMIT_AS ve RLIMIT_DATA sınırlarını kullanma. Üretici bu sınırların bellek ayırmayı başarısız kılıp açığı tetikleyebildiğini belirtiyor.
6. Şüphelendiğin bir durum varsa sunucunun loglarına bak. Olağan dışı multipart istekleri ve ardından gelen bellek sınırı hataları ya da tekrarlayan 500 yanıtları dikkat çekici. PHP süreçlerinin shell başlatıp başlatmadığını da kontrol et. Bu noktada sistemi ağdan ayır, logları koru ve bir uzmanla birlikte ilerle.

Sık sorulan sorular

Beni etkiliyor mu?

Sunucunda PHP çalışıyorsa ve sürümün düzeltilmiş sürümlerden eskiyse evet. php -v çıktısı ve web tarafında çalışan sürüm birlikte kontrol edilmeli.

Uygulamamda güvenlik sorunu yok, yine de güncellemem gerekir mi?

Evet. Açık PHP’nin çekirdeğinde. Uygulama kodunda hata olması gerekmiyor. Bu yüzden kendi kodunu temiz tutmak tek başına korumaz.

Hemen güncelleyemezsem ne yapmalıyım?

Yukarıdaki geçici önlemleri uygula ve güncellemeyi en kısa sürede planla. Önlemler tam koruma sağlamaz. 8.1 ve daha eski sürümlerde CISA, güncelleme gelene kadar sistemi çevrimdışı almayı öneriyor.

Kaynaklar

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-109618
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-109619
• CISA KEV kataloğu: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• CISA uyarısı (21 Ekim 2026): https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
• PHP güvenlik danışmanı: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
• PHP güvenlik danışmanı: https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
• Wiz Research analizi: https://www.wiz.io/blog/php2shell-php-rce

Bu yazı 6 Kasım 2026’da CISA ve NVD kayıtlarına göre hazırlandı; yeni bilgi çıkarsa güncellenecek. Sunucunda PHP güncellemesi ya da bakım planlamak istersen teklif formu üzerinden bana yazabilirsin. PHP tarafını genel olarak sağlamlaştırmak için PHP güvenlik önlemleri yazısına da göz atabilirsin.