Web siteniz sorunsuz çalışıyor olabilir. Ancak bu, sunucu altyapınızın güncel ve güvenli olduğu anlamına gelmez. Kurumsal sitelerden e-ticaret platformlarına kadar birçok projede kullanılan PHP için yayımlanan son güvenlik duyuruları, düzenli bakımın önemini yeniden ortaya koyuyor.

21 Ekim 2026’da açıklanan iki kritik PHP güvenlik açığı, belirli koşullarda saldırganların oturum açmadan sunucuda kod çalıştırmasına yol açabiliyor. Bu yazı, 31 Ekim 2026 itibarıyla yayımlanmış resmî duyurular temel alınarak hazırlanmıştır.

1. PHP Nedir, Web Siteniz İçin Neden Önemlidir?

PHP, web sitelerinin sunucu tarafındaki işlemlerini gerçekleştiren bir programlama dilidir. Yönetim panelleri, iletişim formları, üyelik işlemleri ve veritabanı bağlantıları gibi birçok işlevde kullanılır.

Bir sitenin tasarımı güncel olsa bile arka plandaki PHP sürümü eski kalabilir. Bu nedenle güvenlik bakımı, içerik güncellemelerinden ayrı olarak takip edilmelidir.

2. Son PHP Güvenlik Açıkları Nelerdir?

Ekim ayında duyurulan iki kritik açık, PHP’nin bellek ve istek yönetimiyle ilgilidir:

• CVE-2026-109618: Bellek yetersizliği sırasında bazı işlemlerin güvenli biçimde sonlandırılamamasıyla ilişkilidir. Uygun koşullarda uzaktan kod çalıştırılmasına yol açabilir.
• CVE-2026-109619: Bir isteğe ait geçersiz bellek bilgilerinin sonraki isteklerde kullanılabilmesiyle ilişkilidir. Risk, sunucu ve uygulama yapılandırmasına göre değişir.

Uzaktan kod çalıştırma, saldırganın web uygulamasının çalıştığı hesabın yetkileriyle işlem yapabilmesi anlamına gelir. Böyle bir durum, uygulamanın erişebildiği dosyaları ve verileri riske atabilir. Teknik ayrıntılar PHP ekibinin ilk güvenlik bildiriminde ve ikinci güvenlik bildiriminde açıklanmıştır.

3. Hangi Web Siteleri Etkilenebilir?

PHP kullanan kurumsal siteler, içerik yönetim sistemleri, e-ticaret uygulamaları ve özel yazılımlar değerlendirilmelidir. PHP ekibi; PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed dâhil farklı çalışma ortamlarını risk kapsamında ele almaktadır. Her kurulumun aynı koşullarda saldırıya açık olduğu varsayılmamalıdır.

WordPress veya başka bir içerik yönetim sistemini güncellemek, sunucudaki PHP paketini kendiliğinden güncellemeyebilir. Uygulama ve sunucu güncellemeleri ayrı kontrol edilmelidir.

4. Hangi PHP Sürümlerine Güncelleme Yapılmalı?

21 Ekim’de açıklanan iki kritik açık için düzeltme içeren sürümler şunlardır:

• PHP 8.2: 8.2.35
• PHP 8.3: 8.3.36
• PHP 8.4: 8.4.27
• PHP 8.5: 8.5.12

Güncelleme sırasında kullanılan dalda yayımlanmış daha yeni kararlı sürümler de kontrol edilmelidir. Bazı Linux dağıtımları ve destek sağlayıcıları düzeltmeleri mevcut paketlerine geri taşıyabilir. Bu nedenle yalnızca sürüm numarasına değil, sağlayıcının yama bilgisine de bakılmalıdır. PHP 8.1 ve daha eski dallar için desteklenen bir sürüme geçiş planlanmalıdır.

5. Windows Sunucularda Ek Güncelleme Gerekli mi?

PHP ekibi, 26 Ekim 2026’da Brotli bağımlılığındaki CVE-2026-111497 için güncellenmiş Windows paketleri yayımlamıştır: 8.2.35-1, 8.3.36-1, 8.4.27-1 ve 8.5.12-1.

Bu sorun, cURL üzerinden otomatik HTTP yanıt açma özelliğinin etkin olduğu kullanımlarda erişilebilir olabilir. Paket adındaki “-1”, güncellenmiş bağımlılıklarla yeniden oluşturulan Windows paketini belirtir; PHP’nin çalışma zamanı sürüm numarası değişmez. Bu yüzden yalnızca görünen sürümü kontrol etmek yeterli olmayabilir.

6. Web Sitesi Sahipleri Ne Yapmalı?

1. Mevcut sürümü öğrenin: Sitenin gerçekten kullandığı PHP sürümünü hosting panelinden veya sağlayıcınızdan doğrulayın.
2. Yedek alın: Dosyaların ve veritabanının güncel, geri yüklenebilir yedeğini hazırlayın.
3. Önce test edin: Güncellemeyi mümkünse bir test ortamında deneyin.
4. Yamayı doğrulayın: Hosting sağlayıcınızdan ilgili güvenlik düzeltmelerinin uygulandığını öğrenin.
5. Önemli işlemleri kontrol edin: Giriş, iletişim, dosya yükleme ve varsa ödeme adımlarını güncelleme sonrasında test edin.

Hosting firmanıza şu soruyu iletebilirsiniz: “Web sitemin kullandığı PHP paketinde CVE-2026-109618 ve CVE-2026-109619 düzeltmeleri uygulanmış mı? Windows kullanılıyorsa son Brotli güncellemesi de pakete dâhil mi?”

7. Geçici Önlemler Güncellemenin Yerini Tutar mı?

PHP ekibi, belirli saldırı yollarını azaltmak için yapılandırma önlemleri de açıklamıştır. 23 Ekim’deki ek duyuruda, alışılmadık bir oturum yapılandırmasıyla ilişkili risk için session.upload_progress.enabled=0 önerisi paylaşılmıştır. Bu ayar sunucu yöneticisi tarafından değerlendirilmeli ve uygun sunucu yapılandırmasında uygulanmalıdır.

Geçici ayarlar, iki kritik açığın düzeltmelerini içeren sürüme geçmenin yerine geçmez. Sunucu yapılandırmasını rastgele değiştirmek yerine hosting sağlayıcınız veya teknik ekibinizle ilerleyin.

8. Web Sitesi Güvenliği Sürekli Bakım Gerektirir

Web sitenizin yayına alınması, teknik bakım sürecinin başlangıcıdır. PHP, kullanılan kütüphaneler, içerik yönetim sistemi ve sunucu bileşenleri birlikte takip edilmelidir.

Düzenli güncelleme, doğrulanmış yedekler ve güncelleme sonrası işlev kontrolleri işletmenizin dijital varlığını korumaya yardımcı olur. Bakım planınıza içerik değişiklikleriyle birlikte altyapı güvenliğini de dâhil edin.

Kaynak: PHP ekibinin Ekim 2026 güvenlik duyuruları ve Windows paket güncellemesi.