PHP kritik uzaktan kod yürütme açıklarını kapattı
Öne çıkanlar
- PHP bellek yönetimi ve hata yakalama katmanlarındaki iki kritik açık 9,2 CVSS puanıyla yamalandı.
- 2024'te saptanan OOM kaynaklı temel hata, Calif ve OpenAI'ın uzaktan kod yürütme riski bulmasıyla öncelik kazandı.
- Sosyal medya sızıntıları ve ambargo ihlalleri nedeniyle resmi sürüm takvimi bir gün erkene çekildi.
PHP projesi, sunucularda uzaktan yetkisiz kod yürütülmesine olanak tanıyan iki kritik güvenlik açığını gidermek amacıyla PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. Güvenlik açıkları, PHP motorunun bellek yönetimi ve hata işleme gibi temel bileşenlerinde yer alıyor. Sistem yöneticilerine sunucularını acilen güncelleme çağrısı yapıldı.
Sorunun kökenindeki bellek yetersizliği (OOM) kaynaklı davranış ilk olarak 2024 yılındaki Quarkslab denetimi sırasında fark edildi ancak geriye dönük uyumluluk kaygıları ve kaynak eksikliği nedeniyle çözüm süreci uzun süre ertelendi. Ağustos 2026'da güvenlik şirketi Calif ve OpenAI araştırmacılarının bağımsız olarak uzaktan kod yürütme kanıtı sunmasının ardından, PHP Foundation destekli ekipler düzeltme çalışmalarına öncelik verdi.
Koordineli açıklama süreci planlanan tarihten iki gün önce sosyal medyaya sızan CVE kayıtları ve Calif tarafından yanlışlıkla yayımlanan kavram kanıtlama videosu nedeniyle erkene alındı. Chainguard firmasının ambargoyu erken delerek yamalı imajları yayınlamasına rağmen ekip, tüm desteklenen sürümler için yamaları dağıtıcılara ulaştırarak güncellemeleri tamamladı.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.