PHP ekibi kritik uzaktan kod yürütme açığını kapattı
Öne çıkanlar
- PHP2Shell olarak bilinen CVE-2026-109618 açığının CVSS skoru 9,2 olarak açıklandı.
- Açık, bellek sınırı aşıldığında çağrılan atlama mekanizmasının başlatılmamış belleği erişilebilir bırakmasından kaynaklandı.
- Ekip, 390 dosyayı değiştirerek bellek sınırını esnek hale getirdi ve PHP sürümlerini güncelledi.
PHP güvenlik ekibi, sızdırılan PHP2Shell istismar aracı söylentilerinin ardından CVE-2026-109618 kodlu kritik uzaktan kod yürütme açığını gideren güncellemeleri yayımladı. Güvenlik ambargosunun planlanan tarihten önce bozulması üzerine 21 Ekim 2026 tarihinde yayımlanan yamalar, bellek yetersizliği hatasının istismar edilerek web sunucusu yetkileriyle rastgele kod çalıştırılmasına yol açan açığı kapatıyor. Güvenlik açığı, uygulama kodu çalışmadan önce Apache mod_php üzerinde doğrulanırken PHP-FPM, FrankenPHP ve LSAPI altyapılarını da kapsıyor.
İnternete sızan raporların aksine CVSS puanı 10.0 değil 9.2 olarak belirlendi. En yaygın şekilde paylaşılan session.upload_progress.enabled ayarını kapatma önerisinin bu açıkla ilişkili olmadığı, eşzamanlı yayımlanan farklı bir güvenlik bültenine ait olduğu kaydedildi. Güvenlik açığı, bellek sınırı aşıldığında zend_bailout çağrısının C fonksiyonlarını yarım bırakarak kapatma döngüsüne geçmesinden ve henüz başlatılmamış bellek durumlarının taranmasından kaynaklandı.
PHP ekibi sorunu çözmek için bellek ayırıcıdan doğrudan atlama mekanizmasını kaldırdı ve 390 dosyayı kapsayan kapsamlı bir mimari değişiklik yaptı. Yeni yapıda bellek sınırı esnek bir sınıra dönüştürüldü ve sürecin güvenli biçimde durdurulması için varsayılan olarak yüzde 200 oranında çalışan sert bir bellek limiti getirildi. Yetkililer, PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerine geçilmesini önerdi.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.