--- title: "PHP, CVSS 9.2 puanlı iki kritik RCE açığı için acil yama yayınlayacak" url: "https://teknotayf.com/haber/php-cvss-9-2-puanli-iki-kritik-rce-acigi-icin-acil-yama-yayinlayacak" markdown_url: "https://teknotayf.com/haber/php-cvss-9-2-puanli-iki-kritik-rce-acigi-icin-acil-yama-yayinlayacak.md" site: "teknotayf.com" language: "tr" published: "2026-10-21 12:05:17" updated: "2026-10-23 03:27:44" category: "Siber Güvenlik" tags: ["Siber Güvenlik","Uzaktan Kod Çalıştırma","watchTowr","PHP Güvenlik Açığı"] source: "The Hacker News" --- # PHP, CVSS 9.2 puanlı iki kritik RCE açığı için acil yama yayınlayacak > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/php-cvss-9-2-puanli-iki-kritik-rce-acigi-icin-acil-yama-yayinlayacak > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** PHP, 21 Ekim'de 14:00 UTC'de iki kritik uzaktan kod çalıştırma açığı için olağan dışı güvenlik sürümü yayınlayacak. watchTowr araştırmacıları açıkları php2shell olarak adlandırıyor ve yalnızca 8.2 ile 8.5 dalları düzeltme alacak. Sızıntı sonrası duyuru yapıldı, ancak etkilenen sürümler ve ayrıntılar sürümle birlikte açıklanacak. - **Yayın tarihi:** 2026-10-21 12:05 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Güvenlik, Uzaktan Kod Çalıştırma, watchTowr, PHP Güvenlik Açığı - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/php2shell-two-unpatched-critical-php.html) ![PHP, CVSS 9.2 puanlı iki kritik RCE açığı için acil yama yayınlayacak](https://teknotayf.com/assets/uploads/2026/10/34fde27356f0674d341064cf3c44434a.jpg) Bu haber gelişiyor ve 21 Ekim'de planlanan 14:00 UTC'deki **PHP** sürümünden önce yazıldı. Sürüm yayınlandığında, etkilenen ve düzeltilen sürümler resmi duyuru ile teyit edilecek. PHP, güvenlik ekibinin CVSS v4.0 ölçeğinde **9.2** olarak derecelendirdiği ancak henüz tanımlamadığı iki kritik açık için bugün 21 Ekim'de **14:00 UTC**'de olağan dışı bir güvenlik sürümü yayınlayacak. ⚡ GÜNCELLEME — PHP, iki kritik PHP2Shell Uzak Kod Çalıştırma Açığı için Acil Yamalar Yayınladı, Sömürü Girişimleri Ortaya Çıkıyor watchTowr'daki güvenlik araştırmacıları, iki açığın uzaktan kod çalıştırmaya izin verdiğini söylüyor. Düzeltmeyi yalnızca desteklenen dört PHP dalı, 8.2'den 8.5'e kadar alabiliyor ve şimdiye kadar herhangi bir sömürü rapor edilmedi. Ön duyuru bir sızıntıya dayanıyor. 20 Ekim'de HN'de bir gönderi, CVSS 10.0 olarak derecelendirilen ve PHP 5'ten itibaren sürümleri etkileyen iki PHP uzaktan kod çalıştırma açığının 22 Ekim Perşembe günü açıklanacağını söyledi. Gönderenin "kaynak: bana güven, kanka"dan öte kanıtı olmadığı belirtildi. watchTowr daha sonra X'te sızdırılan bilginin gerçek olduğunu, iki açığın gizlilik anlaşması altında olduğunu, herkesin Perşembe gününe kadar beklemesi gerektiğini ve şimdilik daha fazla şey paylaşamayacağını yazdı. PHP, 19:33 UTC'de akşam duyurusunu yayınladı ve sürümü watchTowr'ın verdiği tarihten bir gün önce Çarşamba gününe ayarladı. Duyuruda PHP, "herhangi bir açığın ayrıntısı kamuya açılırsa veya aktif sömürü kanıtı vahşi doğada görülürse" daha erken sürüm yayınlayabileceğini belirtiyor. Sızıntı, açıkların varlığını, bir puanı, bir tarihi ve iki CVE tanımlayıcısını taşıyordu, ancak açıkların nasıl çalıştığını değil. CVSS 10.0 rakamı sızıntıya ait. PHP'nin derecelendirmesi ölçeğin 4.0 sürümünde 9.2. Araştırmacıların kullandığı tanımlayıcılar **CVE-2026-109618 ve CVE-2026-109619**, sızdırılan gönderide de listelenmişti. PHP'nin duyurusu bunlardan hiçbirini adlandırmıyor. PHP 5'ten bu yana her sürümün etkilendiği iddiası da doğrulanmadı: watchTowr'ın açıklarla ilgili kendi SSS'si, kapsamın "resmi satıcı duyurusu tarafından doğrulanmadığını" ve herhangi bir yapılandırma veya özellik gereksiniminin tanımlanmadığını belirtiyor. PHP, "Tam ayrıntılar, etkilenen sürümler ve düzeltilen sürümler sürümle birlikte yayınlanacak" diyor. Araştırmacılar çifti php2shell olarak adlandırmaya başladı. İsim onların, PHP'nin değil. Etkilenen aralık ne olursa olsun, PHP yalnızca dört desteklenen dalı için düzeltme yayınlıyor ve her dalın değişikliklerini günlüğünde kaydediyor. 8.2 ve 8.3 yalnızca güvenlik düzeltmeleri alıyor, 8.4 ve 8.5 aktif destekte. Sürüm öncesinde Alpine Linux ve güvenlik araştırmacısı Kevin Beaumont dahil birkaç takipçi, düzeltmelerin PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 olarak gönderileceğini bekliyor, her dalın bir sonraki nokta sürümü, ancak PHP sayıları onaylamadı. 8.1, 8.0, 7.x ve 5.x dahil daha eski her şey yaşam döngüsünün sonu ve PHP düzeltmesi almıyor. Açıklar bu dallara ulaşırsa, bu sistemlerdeki kurulumların satıcı yaması olmayacak. Bugünün düzeltmesini alabilecek PHP dalları Güncel sürüm (24 Eylül) PHP destek durumu 31 Aralık 2027'ye kadar aktif destek 31 Aralık 2026'ya kadar aktif destek 31 Aralık 2027'ye kadar yalnızca güvenlik düzeltmeleri 31 Aralık 2026'ya kadar yalnızca güvenlik düzeltmeleri Güvenlik şirketi Mallory, 20 Ekim'de Shodan arama motoruna HTTP banner'ı PHP sürümü 8.1 veya daha eski bildiren yaklaşık 884.000 internete açık ana bilgisayar saydığını belirtti; bu sayı herhangi bir sürüm bildiren yaklaşık 1,5 milyon ana bilgisayarın yüzde 59'una denk geliyor. Sayım banner'ları kapsıyor, doğrulanmış etkilenen sistemleri değil ve ayrıca 740.000 ana bilgisayar sürümsüz PHP bildirdi. PHP henüz bir geçici çözüm yayınlamadı. Sürüm gelene kadar hazırlık, Huntress'ten alınan hızlı müdahale yazısından ve CERT-EU'nun izolasyon tavsiyesinin eklenmesiyle oluşan altı adıma indirgeniyor. Satıcı cihazlarına gömülü PHP dahil her PHP kurulumunu envantere alın, Windows yazılımı ve cPanel ve Plesk gibi kontrol panelleri. 14:00 UTC'de yükseltmeye hazır olun. Önce internete açık sistemleri yama yapın ve Linux dağıtımınızda ve barındırma sağlayıcınızda geri taşınmış paketler olup olmadığını kontrol edin. Yaşam döngüsü sona ermiş bir daldaysanız, sistemi yükseltin, internetten ayırın veya bir VPN veya web uygulama güvenlik duvarının arkasına koyun. Yama hemen yapılamıyorsa CERT-EU, "düzeltme mevcut olana kadar internete açık uygulamaları genel ağlardan izole etmeyi düşünün" tavsiyesinde bulunuyor. PHP'nin ne başlattığını izleyin. php-fpm, php-cgi, httpd veya apache2'nin kabuk, yorumlayıcı veya indirme araçları başlatmasına karşı uyarı verin. Uç nokta algılama olmayan Linux sunucularında Florian Roth'un process-watcher'ı, bir PHP sürecinin başlattığı her programı komut satırıyla birlikte kaydeder. Roth'un ifadesiyle program başladıktan sonra görülür ve "hiçbir şeyi engellemez". Bir şey bulursanız sunucuyu izole edin, web sunucusu ve PHP günlüklerini koruyun ve web kabukları, web kökünde yeni dosyalar, yeni cron işleri, planlanmış görevler ve hesaplar arayın. Huntress, 20 Ekim itibarıyla ortak ortamlarında açıkların sömürülmediğini gördüğünü, bir kanıt kavramı oluşturmadığını veya yeniden üretmediğini ve kamuya açık sömürü kodu bilmediğini söyledi. watchTowr'ın SSS'si, 21 Ekim itibarıyla sömürünün rapor edilmediğini ve açıkların CISA'nın Bilinen Sömürülen Kırılganlıklar kataloğunda olmadığını listeliyor. Karşılaştırma için, Haziran 2024'te Windows'ta CGI modunda PHP açığı olan CVE-2024-4577 kamuya açıldığında Akamai, honeypot sunucularına karşı 24 saat içinde sömürü girişimleri gördü. Sürüm, duyurunun sakladığını açıklamalı: hangi sürümler etkileniyor, PHP'nin hangi parçası söz konusu, bir saldırının belirli bir PHP çalıştırma biçimi, yapılandırma veya giriş gerektirip gerektirmediği ve PHP'nin açıkları nasıl tanımladığı. Yazım sırasında PHP düzeltmeleri yayınlamamıştı. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/php-cvss-9-2-puanli-iki-kritik-rce-acigi-icin-acil-yama-yayinlayacak Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.