CISA, PHP'deki kritik güvenlik açıklarını acilen düzeltme çağrısında bulundu

gray steel gate closed with padlock — Masaaki Komori / Unsplash

Amerika Birleşik Devletleri Siber Güvenlik Altyapı Güvenliği İdaresi (CISA), programlama dili PHP'de tespit edilen iki ciddi güvenlik açığı nedeniyle, düzeltme programlarının derhal uygulanması gerektiğini vurguladı. Eğer güncelleme yapmak zor ise, sistemlerin çevrimdışı duruma getirilmesi öneriliyor.

21 Ekim 2026 tarihinde yapılan uyarıda, php2shell olarak adlandırılan CVE-2026-109618 ve CVE-2026-109619 güvenlik açıklarının, PHP ile web isteklerini işleyen tüm ortamları etkileyebileceği belirtildi. Bu açıkların, kimlik doğrulama gerektirmeden uzaktan rastgele kodların çalıştırılmasına olanak tanıyabileceği konusunda alarm verildi.

CISA'nın hazırladığı uyarı notunda, bu güvenlik açıklarının kötüye kullanılmasına dair herhangi bir gözlem yapılmadığı ifade edildi. Kurumlar, PHP'nin kullanım durumunu tespit ederek, hemen PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerine güncellemeleri gerektiği konusunda bilgilendirildi.

Özellikle internete bağlı sistemler için hızlı bir yanıt verilmesi gerektiği, PHP'yi içeren sistemlere de dikkat edilmesi gerektiği vurgulandı.

Web uygulama güvenlik duvarlarının (WAF), belirli bir düzeyde koruma sağlayabileceği belirtilse de, düzeltme programı uygulanmadan önce PHP'nin çalıştığı sistemlerin çevrimdışı çalıştırılması gerektiği ifade edildi.

Ayrıca, saldırı olasılığına yönelik davranışların izlenmesi önerildi. PHP'nin işçi süreçlerinden kabuk açılması veya araçların indirilmesi gibi davranışlara dikkat edilmesi gerektiği hatırlatıldı.