PHP ekibi kritik iki güvenlik açığı için acil yama yayımladı
Öne çıkanlar
- CVSS v4.0 skoru 9,2 olan açıklar kimlik doğrulaması olmadan uzaktan kod yürütülmesine yol açıyor.
- Resmi güvenlik yamaları yalnızca PHP 8.2, 8.3, 8.4 ve 8.5 sürümleri için yayımlandı.
- CERT-EU yamayı kuramayan kuruluşlara internet sitelerini geçici olarak kapatmayı önerdi.
PHP geliştirme ekibi, 21 Ekim 2026 tarihinde iki kritik güvenlik açığı için güncelleme yayımlayacağını duyurdu. CVSS v4.0 puanlama sistemine göre 10 üzerinden 9,2 seviyesinde derecelendirilen açıklar, saldırganların kimlik doğrulaması olmadan uzaktan kod çalıştırmasına izin veriyor. Avrupa Birliği Siber Güvenlik Ajansı (CERT-EU) ve Avustralya Siber Güvenlik Merkezi (ACSC), güncellemeleri derhal uygulayamayan kurumların etkilenen internet sitelerini geçici olarak kapatmasını veya dış ağ bağlantılarını kesmesini tavsiye etti.
Araştırmacıların "php2shell" olarak adlandırdığı açıkların, PHP oturum yönetimi işlevindeki bellek bozulmasından kaynaklandığı belirtildi. Güvenlik kurumları zafiyetin PHP 5 ve sonraki sürümleri etkileyebileceğini bildirdi. Resmi güncellemeler yalnızca desteklenen PHP 8.2, 8.3, 8.4 ve 8.5 sürümleri için sunuldu. Kullanım ömrü bitmiş olan PHP 8.1 ve daha eski sürümler resmi yama almadığı için bu sistemleri çalıştıran kuruluşların yeni sürümlere geçiş yapması gerektiği kaydedildi.
Gelişmelerin ardından Japonya'daki birçok çevrim içi platform ve barındırma hizmeti acil bakım süreçleri başlattı. W3Techs verilerine göre bilinen internet sitelerinin yüzde 69,3'ü PHP kullanıyor. Güvenlik uzmanları, açıkların duyurulmasıyla birlikte kötüye kullanım riskinin arttığını, yapılandırma değişikliklerinin yetersiz kaldığını ve tek kalıcı çözümün resmi yamaları sisteme yüklemek olduğunu aktardı.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.