Sitenin ana sayfası açılıyor, yönetim paneline de girebiliyorum. Böyle bir durumda güvenlik haberini okuyup başka işe geçmek kolay. Benim PHP açığı haberinde takıldığım yer tam burası: sitenin çalışması, alttaki yazılımın güvenli olduğunu göstermiyor.

22 Ekim 2026 tarihli Reuters haberinde Cloudflare CEO'su Matthew Prince, açıkların duyurulmasından sonra şirketin ağında görülen saldırı denemelerinin milyonlara çıktığını söylüyor. Bu, milyonlarca sitenin ele geçirildiği anlamına gelmiyor. Deneme sayısı ile başarılı saldırı sayısını birbirine karıştırmadan, kendi sitemde ne çalıştığını öğrenmek isterim.

PHP güvenlik açığı neden siteyi ilgilendiriyor?

PHP, sunucunun ziyaretçiye göndereceği içeriği üretmekte kullanılan bir programlama dili. Tarayıcıda gördüğüm sayfadan önce çalışan bir katman var. Bu haberde sorun, yazdığım bir blog cümlesinde ya da seçtiğim görselde değil, o katmanın kendisinde.

PHP ekibinin güvenlik duyurusuna göre CVE-2026-109618 ve CVE-2026-109619, kimlik doğrulama olmadan uzaktan kod çalıştırmaya yol açabilen iki kritik açık. Duyuru; PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed dahil web isteği karşılayan PHP kurulumlarını kapsıyor. Özellikle mod_php için, uygulamanın kendi kodu başlamadan saldırının tetiklenebildiği bir örnek bulunduğu belirtiliyor.

Bu yüzden benim ilk sorum yönetim paneli şifremi değiştirip değiştirmemek olmaz. Önce sitemin PHP kullanıp kullanmadığını ve kullanıyorsa hangi kurulumun web isteklerini karşıladığını öğrenirim. Şifre değiştirmek, PHP'nin içindeki hatayı onarmıyor.

Hangi PHP sürümlerinde düzeltme var?

21 Ekim tarihli resmî duyuruda bu iki açık için yayımlanan sürümler şöyle:

  • PHP 8.2 için 8.2.35
  • PHP 8.3 için 8.3.36
  • PHP 8.4 için 8.4.27
  • PHP 8.5 için 8.5.12

Bunlar bu yazının hazırlandığı tarihteki düzeltme sürümleri. Sonradan okuyan biri için ben aynı listeden körlemesine seçim yapmam; güncel duyuruyu ve kullandığım dağıtımın güvenlik notunu yeniden açarım.

Burada sürüm numarasını görmek tek başına her zaman yeterli değil. PHP ekibi, Linux dağıtımlarının ve uzun süreli destek sağlayıcılarının yamaları önceden aldığını belirtiyor. Bazı sağlayıcılar düzeltmeyi mevcut paketlerine geri taşıyabiliyor. Panelde beklediğim numarayı görmedim diye hemen sonuç çıkarmam; sağlayıcıdan bu iki CVE için yama bilgisini isterim. Tersine, yalnızca “güncel kullanıyoruz” cevabıyla da yetinmem.

PHP 8.1 ve daha eski dallar için de aynı duyurudaki ayrım önemli: PHP projesinin normal desteği bitmiş durumda, bazı sağlayıcıların ayrı desteği olabilir. Ekip ayrıca 7.4, 8.0 ve 8.1 için kaynak koddan derleyenlere yönelik sınırlı yama dalları paylaşmış. Bunu eski sürümde süresiz kalma gerekçesi olarak almam.

Hosting firmasına ne sorarım?

Sunucuyu ben yönetmiyorsam rastgele komut çalıştırmam. Destek talebini şu şekilde açarım:

Sitemin web isteklerini karşılayan PHP kurulumu, CVE-2026-109618 ve CVE-2026-109619 için yamalandı mı? Kullanılan paket sürümünü veya dağıtım güvenlik duyurusunu paylaşabilir misiniz? Güncellemeden sonra ilgili çalışan servislerin yeni paketi kullandığını doğruladınız mı?

Özellikle “web isteklerini karşılayan” diye yazarım. Terminalde görülen PHP sürümü ile sitenin kullandığı kurulum farklı olabilir. Bir sunucuda birden fazla site ve farklı PHP sürümleri varsa, verilen cevabın benim alan adımı kapsadığından emin olmak isterim.

WordPress, tema ve plugin güncellemelerini de ayrı tutarım. Onların güncel olması, hosting tarafındaki PHP paketinin yamalandığına dair kanıt değil. Benim aradığım cevap, haberin konusu olan iki açığa doğrudan cevap vermeli.

Güncelleme hemen yapılamıyorsa

PHP ekibi, bazı ayarların belirli saldırı yollarını azaltabildiğini ama kurulumu güvenli hale getirmediğini açıkça söylüyor. Bu yüzden internette gördüğüm tek satırlık ayarı kopyalayıp işi bitmiş saymam. Geçici önlemi, etkisini ve servis kesintisi gerekip gerekmediğini sunucuyu yöneten kişiyle konuşurum.

Benim için bu haberin pratik karşılığı şu sırada: PHP kullanılıyor mu, ilgili kurulum yamalı mı, çalışan servis yeni paketi kullanıyor mu? Meraklı Rakun için böyle bir kontrol yapacak olsam destek cevabını tarih ve alan adıyla saklarım. İşlemden sonra da ana sayfayı, giriş ekranını ve varsa formu kontrol ederim. Sayfalar açılınca yalnızca güncellemenin siteyi bozmadığını görmüş olurum; güvenlik teyidi için yine paket ve yama kaydına bakarım.