PHP altyapısı kullanan milyonlarca web sitesi ve sunucuyu ilgilendiren önemli bir güvenlik uyarısı yayımlandı. PHP Güvenlik Ekibi, 20 Ekim 2026 tarihinde iki kritik güvenlik açığı için acil güvenlik güncellemesi hazırladığını duyurdu.
CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen bu iki güvenlik açığı, CVSS v4.0 değerlendirme sisteminde 9.2/10 kritik önem puanına sahip.
Güvenlik araştırmacıları ve CERT-EU tarafından yayımlanan uyarılara göre, söz konusu zafiyetlerin uzaktan kod çalıştırma (Remote Code Execution – RCE) riskine yol açabileceği değerlendiriliyor.
PHP ekibi, güvenlik düzeltmelerini 21 Ekim 2026 tarihinde saat 14.00 UTC'de, Türkiye saatiyle 17.00'de yayımlamayı planladığını açıkladı.
Uzmansoft Bilişim olarak hazırladığımız bu rehberde güvenlik açıklarının ne anlama geldiğini, hangi sistemlerin kontrol edilmesi gerektiğini ve sunucularınızda güvenlik güncellemelerini nasıl uygulayabileceğinizi anlatıyoruz.
PHP, dünya genelinde çok sayıda web sitesi, e-ticaret platformu, yönetim paneli ve özel yazılım tarafından kullanılan açık kaynaklı bir sunucu tarafı programlama dilidir.
WordPress, WooCommerce, Joomla, Drupal, OpenCart, Laravel ve benzeri sistemler PHP altyapısından yararlanır.
PHP yazılımının kendisinde meydana gelen bir güvenlik zafiyeti, yalnızca tek bir web sitesini değil, ilgili sürümü kullanan farklı uygulamaları da etkileyebilir.
20 Ekim 2026 tarihinde yayımlanan güvenlik duyurusunda iki kritik açıklığın tespit edildiği ve bunlara yönelik güvenlik düzeltmelerinin hazırlanmakta olduğu bildirildi.
| Özellik | Açıklama |
|---|---|
| CVE numaraları | CVE-2026-109618 / CVE-2026-109619 |
| Önem derecesi | Kritik |
| CVSS v4.0 | 9.2 / 10 |
| Etkilenen yazılım | PHP |
| Olası risk | Uzaktan kod çalıştırma (RCE) |
| İlk duyuru | 20 Ekim 2026 |
| Planlanan yama tarihi | 21 Ekim 2026, 17.00 TSİ |
Önemli: İlk resmî duyuruda etkilenen sürümlerin kesin listesi ve güvenlik açıklarının teknik işleyişi açıklanmamıştır. CERT-EU, PHP 5 ve üzerindeki sürümlerin etkilenebileceği yönündeki ön değerlendirmelere dikkat çekmiştir.
Uzaktan kod çalıştırma (RCE), bir saldırganın belirli koşullar altında hedef sistemde yetkisiz kod veya komut çalıştırabilmesine olanak tanıyan güvenlik zafiyetlerini ifade eder.
RCE saldırıları, güvenlik açığının kapsamına ve sunucudaki yetkilere bağlı olarak ciddi sonuçlar doğurabilir.
Saldırgan, başarılı bir istismar sonrasında PHP uygulamasının sahip olduğu izinler kapsamında yetkisiz işlemler gerçekleştirebilir. Yetersiz güvenlik izolasyonu mevcutsa bu durum daha geniş sistem erişimine dönüşebilir.
Yeterli yetkilere ulaşılması durumunda uygulama yapılandırma dosyaları, veritabanı bağlantı bilgileri ve hassas kullanıcı verileri tehlikeye girebilir.
Güvenliği ihlal edilmiş uygulamalarda saldırganlar izinsiz dosya değişiklikleri yapabilir veya zararlı içerikler yerleştirebilir.
Saldırılar sonucunda web uygulamalarının çalışması bozulabilir, kaynak tüketimi artabilir veya hizmet kesintileri meydana gelebilir.
Bu sonuçlar RCE türündeki güvenlik açıklarının genel riskleridir. İlgili iki CVE için kesin istismar koşulları teknik güvenlik raporlarıyla ayrıca doğrulanmalıdır.
PHP kullanılan bütün sistemlerde mevcut sürümlerin belirlenmesi ve üretici duyurularının takip edilmesi önerilmektedir.
Kontrol edilmesi gereken başlıca ortamlar şunlardır:
WordPress ve WooCommerce: Kurumsal siteler, bloglar ve e-ticaret mağazaları.
cPanel / WHM: Paylaşımlı hosting, reseller ve sunucu yönetim altyapıları.
CloudLinux PHP Selector: Birden fazla PHP sürümünün kullanıldığı hosting sistemleri.
VPS / VDS: Ubuntu, Debian, AlmaLinux ve Rocky Linux tabanlı sanal sunucular.
Özel PHP uygulamaları: Laravel, Symfony ve CodeIgniter ile geliştirilen projeler.
Web sunucuları: Apache, Nginx ve LiteSpeed üzerinde PHP-FPM veya diğer PHP çalışma yöntemlerini kullanan sistemler.
Docker ortamları: PHP tabanlı konteynerler ve mikroservisler.
Bir sistemin PHP kullanıyor olması, söz konusu iki açığın mutlaka istismar edilebildiğini göstermez. Risk değerlendirmesinde etkilenen sürüm, yapılandırma ve saldırı ön koşulları birlikte ele alınmalıdır.
PHP güvenlik açıklarına karşı en önemli önlem, ilgili zafiyetleri gideren resmî güvenlik güncellemelerinin uygulanmasıdır.
Güncelleme yapmadan önce web sitesi dosyalarınızı, veritabanlarınızı ve önemli yapılandırmalarınızı yedeklemeniz önerilir.
SSH erişimi olan sunucularda mevcut komut satırı PHP sürümünü öğrenmek için:
php -v
Komutun çıktısında PHP sürüm bilgisi görüntülenir.
Ancak PHP-CLI sürümü ile web sitenizin kullandığı PHP-FPM sürümü farklı olabilir. Özellikle cPanel, CloudLinux ve çoklu PHP kurulumu bulunan sunucularda web uygulamasının gerçek PHP sürümü ayrıca doğrulanmalıdır.
Ubuntu veya Debian işletim sistemi kullanan sunucularda öncelikle paket listelerini yenileyin:
sudo apt update
PHP paketleri için uygun güncellemeleri görüntüleyin:
apt list --upgradable
Kurulu PHP paketleri ve bağımlılıkları için mevcut güncellemeleri uygulamak üzere:
sudo apt upgrade
Dikkat: Bu komut PHP dışındaki paketleri de güncelleyebilir. İşlemden önce değişecek paketleri inceleyin ve olası hizmet kesintilerini değerlendirin.
Güncellemeler, ancak kullanılan yazılım deposu ilgili güvenlik düzeltmelerini yayımlamışsa bu açıkları kapatabilir.
AlmaLinux, Rocky Linux ve RHEL tabanlı sistemlerde PHP paketlerini kontrol etmek için:
sudo dnf check-update
Etkin depolar üzerinden PHP paket güncellemesini gerçekleştirmek için:
sudo dnf upgrade 'php*'
Bu komut standart PHP paket adlarını hedefler. Remi, CloudLinux, EasyApache veya özel bir paket deposu kullanılıyorsa ilgili PHP paketlerinin isimleri farklı olabilir.
Önemli: Sadece güncelleme işleminin tamamlanması, sunucunun CVE-2026-109618 ve CVE-2026-109619 açıklarından korunduğunu kanıtlamaz. Güvenlik düzeltmesinin kurulan paket içerisinde bulunduğu üreticinin duyurusundan doğrulanmalıdır.
cPanel/WHM kontrol paneli kullanan sistemlerde PHP güncelleme işlemleri dikkatle planlanmalıdır.
WHM üzerinden:
WHM → Software → EasyApache 4
bölümüne giriş yapın.
Bu alandan mevcut EasyApache paketlerini ve PHP sürümlerini kontrol edin. İlgili sürüm için güvenlik güncellemesi sağlanmışsa paket güncellemesini uygulayın.
Ardından sunucunun kullandığı MultiPHP Manager yapılandırmasını ve PHP-FPM servislerini kontrol edin.
EasyApache tarafından yönetilen PHP paketleri, işletim sisteminin standart PHP paketlerinden farklı olabileceğinden genel dnf komutlarının bu paketlere doğrudan uygulanacağı varsayılmamalıdır.
CloudLinux kullanan hosting sistemlerinde PHP Selector üzerinden müşterilere birden fazla PHP sürümü sunulabilir.
Bu durumda:
CloudLinux tarafından sağlanan PHP güvenlik paketlerini kontrol edin.
PHP Selector üzerinde kullanılan sürümleri belirleyin.
Güvenlik düzeltmesi içeren paketleri üreticinin yönergelerine uygun biçimde uygulayın.
Güncellemelerin web sitelerinin aktif PHP çalışma ortamına yansıdığını doğrulayın.
Güncelleme sonrası sitelerin işlevlerini test edin.
CloudLinux tarafından desteklenen ve güvenlik düzeltmeleri geri taşınmış bir PHP paketi, sürüm numarası daha eski görünse bile gerekli düzeltmeyi içerebilir.
Bazı sunucularda güvenlik güncellemeleri uygulama uyumluluğu veya paket deposu gecikmesi nedeniyle hemen yüklenemeyebilir.
Bu gibi durumlarda geçici güvenlik önlemleri uygulanmalıdır.
Web uygulama güvenlik duvarı kullanın: WAF çözümleri belirli saldırı girişimlerinin engellenmesine yardımcı olabilir. Ancak bütün PHP RCE açıklarına karşı kesin koruma sağlamaz.
Yönetim panellerine erişimi sınırlandırın: SSH, WHM ve kritik yönetim servislerinin erişimini mümkün olduğunca yetkili kullanıcılar ve güvenilir IP adresleriyle sınırlandırın.
Gereksiz servisleri kapatın: Kullanılmayan yönetim arayüzlerinin, servislerin ve erişim noktalarının internete açık olmasını engelleyin.
Dosya izinlerini kontrol edin: Web uygulamalarının gereğinden fazla dosya sistemi iznine sahip olmadığından emin olun.
Kritik servisleri izole edin: Güvenlik yamasının hemen uygulanamadığı ve yüksek risk taşıyan internet erişimli uygulamaların erişimini, gerekli durumlarda geçici olarak sınırlandırın.
Bu işlemler riskin azaltılmasına yardımcı olabilir ancak güvenlik yamasının yerine geçmez.
Güvenlik güncellemesi yapıldıktan sonra PHP sürümü tekrar kontrol edilmelidir:
php -vArdından uygulamalarınızın düzgün çalıştığından emin olun.
PHP-FPM, Apache, Nginx veya LiteSpeed gibi ilgili servislerin çalışma durumlarını kontrol edin. Gerekiyorsa bakım planına uygun biçimde servisleri yeniden başlatın.
Web sitelerinizde özellikle şu işlevleri test edin:
Kullanıcı girişleri ve yönetim paneli erişimi.
Veritabanı bağlantıları.
Form gönderimleri ve dosya yüklemeleri.
E-ticaret ödeme ve sipariş işlemleri.
Cron görevleri ve arka plan işlemleri.
Sunucu erişim ve hata kayıtlarının incelenmesi de olası güvenlik sorunlarının tespitinde yararlı olabilir.
Güncelleme sonrası yalnızca PHP sürüm numarasını değil, ilgili güvenlik düzeltmesinin uygulandığını da doğrulayın.
WordPress çekirdeğinin, tema ve eklentilerin güncel tutulması önemlidir. Ancak PHP yazılımında meydana gelen güvenlik açıkları için sunucu tarafındaki PHP sürümünün de kontrol edilmesi gerekir.
WordPress'i güncellemek, PHP'deki bir güvenlik zafiyetini otomatik olarak gidermeyebilir.
Laravel tabanlı sistemlerde framework sürümü, Composer bağımlılıkları ve PHP çalışma ortamı birlikte değerlendirilmelidir.
Güvenlik güncellemesi öncesinde uygulamaların desteklenen PHP sürümleriyle uyumluluğu kontrol edilmelidir.
Özellikle üretim ortamında çalışan kritik projelerde yedekleme ve test süreci tamamlanmadan geniş kapsamlı sürüm değişiklikleri yapılmamalıdır.
Uzmansoft Bilişim olarak web hosting, reseller hosting, VDS, VPS ve fiziksel sunucu hizmeti kullanan müşterilerimizin PHP güvenlik duyurularını takip etmelerini öneriyoruz.
Paylaşımlı hosting kullanıcıları, aktif PHP sürümlerini kontrol ederek ihtiyaç duyduklarında teknik destek ekibimizden bilgi alabilir.
VDS ve fiziksel sunucu kullanıcılarının ise sunucu yönetim sorumluluklarına uygun şekilde işletim sistemi ve PHP güvenlik güncellemelerini takip etmeleri önemlidir.
PHP güncellemeleri, sunucu güvenlik kontrolleri veya uygulama uyumluluğu hakkında yardıma ihtiyaç duyduğunuzda Uzmansoft Bilişim üzerinden destek talebi oluşturabilirsiniz.
PHP Güvenlik Ekibi tarafından 20 Ekim 2026 tarihinde kritik önem seviyesinde duyurulan iki güvenlik açığıdır. Her iki açık için CVSS v4.0 puanı 9.2 olarak bildirilmiştir.
Uzaktan kod çalıştırmaya imkân veren güvenlik açıkları, istismar koşullarına bağlı olarak ciddi sistem ihlallerine neden olabilir. Ancak bu iki CVE'nin kesin etkileri resmî teknik ayrıntılarla değerlendirilmelidir.
PHP Güvenlik Ekibinin ilk duyurusunda güvenlik sürümlerinin 21 Ekim 2026 tarihinde saat 14.00 UTC'de, Türkiye saatiyle 17.00'de yayımlanmasının planlandığı açıklanmıştır.
Normal koşullarda PHP paket güncellemesi doğrudan veritabanı verilerini silmek için tasarlanmış bir işlem değildir. Ancak uyumsuz yazılımlar ve yapılandırma değişiklikleri hizmet sorunlarına yol açabileceğinden işlem öncesinde yedekleme yapılmalıdır.
İlgili güvenlik açığından etkilenen bir PHP paketi kullanıyorsanız güvenlik düzeltmesi gereklidir. CloudLinux'un sağladığı destek ve güvenlik backport durumunu kontrol etmelisiniz.
Hayır. WAF belirli saldırı girişimlerini engelleyebilir ancak PHP kaynak kodundaki bir güvenlik açığını ortadan kaldırmaz. Kalıcı çözüm, doğrulanmış güvenlik düzeltmesinin uygulanmasıdır.
CVE-2026-109618 ve CVE-2026-109619 güvenlik uyarıları, web sitelerinde yalnızca performansın değil, yazılım güvenliğinin de düzenli olarak değerlendirilmesi gerektiğini gösteriyor.
Özellikle müşteri verileri, ödeme işlemleri ve kurumsal uygulamalar barındıran sunucularda PHP sürümleri ve güvenlik paketleri dikkatle takip edilmelidir.
Uzmansoft Bilişim olarak önerimiz, güvenlik güncellemelerinin doğrulanmış üretici paketlerinden uygulanması, önemli sistemlerin düzenli olarak yedeklenmesi ve güncelleme sonrası uygulama testlerinin ihmal edilmemesidir.
Web hosting, VDS ve sunucu çözümlerimiz hakkında detaylı bilgi almak için www.uzmansoft.net adresini ziyaret edebilirsiniz.
