PHP'deki kritik sızmalar gerçek saldırılarda kullanılıyor

Programlama dili PHP'deki iki kritik sızıntının gerçek siber saldırılarda kullanıldığı doğrulandı. Bu sızıntılar, hedef sunucularda kötü amaçlı kod çalıştırılmasına olanak tanıyor. Bu durum, Perplexity'nin güvenlik araştırmacısı Adel Karimi tarafından, honeypot'lar kullanılarak tespit edildi. Karimi, PHP 8.4.26 ile bir Apache sunucusuna yönelik başarılı bir saldırıyı belgeledi. Bu, Expels güvenlik araştırmacısı Marcus Hutchins tarafından da doğrulandı.

CVE-2026-109618 ve CVE-2026-109619 numaralı sızıntılar, 21 Ekim'de acil güvenlik güncellemeleri ile giderildi. PHP güvenlik ekibi, CVE-2026-115560 numaralı başka bir sızıntının henüz güncellenmediğini bildirdi. Bu sızıntı, sıradışı ayar ve kod kombinasyonları olan sistemler için yalnızca bir risk teşkil ediyor. Yöneticilerin, session.upload_progress.enabled işlevini devre dışı bırakmaları öneriliyor.