Kritik PHP Güvenlik Açığı - CVE-2026-109618 & CVE-2026-109619

Sayın müşterilerimiz,

PHP'nin 5.4'den itibaren tüm sürümlerinde RCE (Remote Code Execution - Uzaktan Komut Çalıştırma) sağlayan son derece kritik bir güvenlik açığı tespit edilmiştir. Bu açık ile, PHP çalışan tüm sunucularda, dünya genelinde, uzaktan kod çalıştırılması ve sunucuların uzaktan hacklenmesi mümkündür.

Açık ile ilgili session.upload_progress.enabled = Off kapalı olması anlık olarak çözümlendiği ile ilgili bilgiler mevcut olup, ilgili işlemler uygulanmıştır.

Açık ile ilgili saat 17:00 itibarı ile gerek cpanel, gerek php, gerekse de cloudlinux tarafından çıkarılan tüm yamalar ve güncellemeler anlık olarak uygulanmıştır. 

Uygulanan Güvenlik açıkları ve yamalar sadece:

• Tüm hosting sunucularımızda barındırılan PHP sürümleri (PHP 5.4'ten PHP 8.5'e kadar) en güncel ve güvenli sürümlere yükseltilmiştir.
• SLA Hizmeti alan müşterilerimizin sunucularına gerekli güncellemeler uygulanmıştır. 
• Açık vektörlerini kapatmak amacıyla sunucu genelinde session.upload_progress.enabled gibi risk teşkil eden parametreler kapatılmış ve WAF (Güvenlik Duvarı) kuralları güncellenmiştir.
• Giriş bilgilerinin bizde kayıtlı olduğu tüm sunucu ve sanal sunucu hizmetleri için, giriş yapılabildiği ölçüde uygulanmıştır.

ÖNEMLE HATIRLATMAK İSTERİZ Kİ  Çıkan tüm yamalar Php 8 üzeri sürümlerde çıkmış olup, Php 8.X den aşağı sürümler için herhangi bir güncelleme çıkmamıştır.  Bu sebeple Php 8 öncesi sürüm kullanan web siteleri için mutlaka güncel sürüme yükseltilmesi gereklidir. 

Web Siteniz İçin Ne Yapmalısınız?

Sunucularımız tarafında tüm güvenlik önlemleri alınmış olup, siteleriniz kesintisiz ve güvenli bir şekilde çalışmaya devam etmektedir. Ancak ek bir güvenlik katmanı olarak:

• Kullanmakta olduğunuz CMS (WordPress, Joomla, OpenCart vb.) ve bunlara ait eklenti/temaların güncel olduğundan emin olmanızı,
• Özel (custom) yazılım kullanıyorsanız kaynak kodlarınızın güncelliğini kontrol etmenizi tavsiye ederiz.
• Sitelerinizin php sürümlerini mutlaka Php 8 üzeri yükseltilmesi gerekmektedir.
• .user.ini / .htaccess dosyalarınızda "session.upload_progress.enabled" ayarını "On" yapmayın.

Etkilenen Sistemler

• Plesk
• cPanel & WHM / EasyApache 4
• DirectAdmin
• CloudLinux (alt-php / ea-php)
• LiteSpeed (lsphp)

Minimum Güvenli PHP Sürümleri

PHP projesi tarafından yayımlanan yamalı sürümler:

• PHP 8.5.12 ve üzeri
• PHP 8.4.27 ve üzeri
• PHP 8.3.36 ve üzeri
• PHP 8.2.35 ve üzeri

Önemli: 7.4, 8.0 ve 8.1 sürümlerinde birçok satıcı yamayı sürüm numarasını değiştirmeden uygulamıştır. php -v çıktısındaki sürüm numarası tek başına yeterli değildir. Build tarihine veya paket changelog’una bakınız. Yamalı paketlerde genellikle 21 Ekim 2026 ve sonrası build tarihi görülür.

Resmi duyuru: https://www.php.net/archive/2026.php#2026-10-21-5

Tekraren hatırlatmak isteriz ki ilgili açık firmamızın alt yapısı ile ilgili olmayıp, dünya genelinde çıkan bir açıktır.  Sunucu hizmetleri ile ilgili tüm müşterilerimiz sunucu yönetimi ve güncellemeleri uygulamak ile yükümlüdür.

Saygılarımızla

Akweb Bilişim Hizmetleri