ACİL GÜVENLİK DUYURUSU: PHP'de İki Kritik Açık — Sunucunuzu Hemen Güncelleyin

Yayın tarihi: 22 Ekim 2026 Önem derecesi: Kritik (CVSS 9,2/10) Güvenlik kayıtları: CVE-2026-109618 ve CVE-2026-109619 PHP tabanlı web sitesi veya uygulama çalıştıran tüm müşterilerimizin bu duyuruyu dikkate alması gerekmektedir. 21 Ekim 2026'da açıklanan iki kritik PHP güvenlik açığı, belirli koşullarda saldırganların oturum açmadan sunucuda zararlı kod çalıştırmasına imkân verebilir. Resmî güvenlik yamaları yayımlanmıştır. Gecikmeden güncelleme yapın; yalnızca güvenlik duvarına veya bir PHP ayarını kapatmaya güvenmeyin.

Kimler etkilenebilir?

• PHP kullanan WordPress, Laravel, WooCommerce, özel yazılımlar ve diğer web uygulamalarını barındıran VPS/VDS, bulut ve fiziksel sunucu sahipleri.
• cPanel/WHM, CloudLinux, Plesk veya manuel Apache, Nginx, LiteSpeed ve PHP-FPM kurulumlarını yönetenler.
• Eski PHP sürümlerini kullanan sunucular da dâhil olmak üzere, henüz güvenlik düzeltmesi yüklenmemiş PHP kurulumları.

Bu açıklar uygulamanızın kodundan bağımsız olarak PHP'nin kendisindedir. WordPress veya Laravel'i güncel tutmak önemlidir ancak PHP güvenlik yamasının yerine geçmez.

Güvenli PHP sürümleri

Önemli: CloudLinux, cPanel ve bazı Linux dağıtımları güvenlik düzeltmelerini mevcut sürüm numarasına geri taşıyabilir (backport). Bu nedenle sadece php -v çıktısına bakarak sunucunun güvenli olduğuna karar vermeyin. PHP 8.1 ve daha eski sürümler için resmî PHP projesinden yeni sürüm yayımlanmamaktadır. Bu sürümlerde güvenlik destekli sağlayıcı paketlerini kullanın veya desteklenen bir PHP dalına geçin.

Sunucu sahipleri ne yapmalı?

1. Yedek alın ve PHP sürümlerinizi belirleyin

Güncellemeden önce dosyalarınızın, veritabanlarınızın ve sunucu yapılandırmanızın güncel yedeğini alın. Üretim ortamlarında kısa bir bakım aralığı planlayın. Sunucuda kullanılan bütün PHP sürümlerini belirleyin. Yalnızca varsayılan PHP sürümünü güncellemek yeterli olmayabilir.

2. Altyapınıza uygun güvenlik güncellemesini yükleyin

cPanel / WHM kullanıcıları WHM üzerinden cPanel & WHM'yi ve EasyApache 4 PHP paketlerini güncelleyin. SSH erişimi olan sunucularda EasyApache paket güncellemesi için:

/scripts/rpmup

cPanel'in kendi dâhilî PHP'si de etkilendiğinden WHM > Upgrade to Latest Version üzerinden panel sürümünü de güncelleyin. CloudLinux 8, 9 ve 10 kullanıcıları Root yetkisiyle kurulu bileşenlere uygun güncellemeleri uygulayın:

dnf clean all
dnf upgrade 'ea-php*'
dnf upgrade 'alt-php*'

CloudLinux 7 üzerinde dnf yerine yum kullanın. ALT-PHP kurulu değilse ilgili güncelleme adımını atlayın. CloudLinux'in güvenlik yamaları kararlı depolara yayımlanmıştır. Paket sürüm numarası değişmeyebileceğinden güvenlik düzeltmesini paket değişiklik kaydından doğrulayın. Ubuntu / Debian kullanıcıları PHP'yi kullandığınız güvenilir paket deposundan güncelleyin:

sudo apt update
sudo apt list --upgradable
sudo apt upgrade

AlmaLinux / Rocky Linux / RHEL kullanıcıları PHP paketlerini ilgili dnf depolarından güncelleyin. Üçüncü taraf PHP depoları kullanıyorsanız sağlayıcının güvenlik duyurusunu kontrol edin. Paket güncellemeleri başka bileşenleri de etkileyebileceğinden işlem öncesinde değişiklik listesini inceleyin. Plesk, Docker ve Windows sunucular Plesk üzerinden PHP bileşenlerini güncelleyin. Docker uygulamalarında yamalı PHP imajlarıyla yeniden oluşturma ve dağıtım yapın. Windows sunucularında güncel PHP dağıtımını yükleyerek IIS/FastCGI süreçlerini yenileyin.

3. PHP servislerini yenileyin

Paket güncellemesinden sonra PHP-FPM, Apache, LiteSpeed/LSAPI veya kullanılan diğer PHP çalışma süreçlerinin yeni sürümü yüklediğinden emin olun. Gerekli servis yeniden başlatma işlemlerini kontrollü bakım aralığında gerçekleştirin. Kısa süreli hizmet kesintileri yaşanabilir. CloudLinux/cPanel paketlerinde güvenlik düzeltmesini kontrol etmek için örnekler:

rpm -q ea-php83-php-cli --changelog | grep -E 'CVE-2026-(109618|109619)'
rpm -q alt-php82-common --changelog | grep -E 'CVE-2026-(109618|109619)'

Bu komutları yalnızca ilgili paketler kuruluysa kullanın. Sonuç çıkmaması tek başına paketin güvenlik açığı içerdiğini kanıtlamaz; sağlayıcının yayımladığı paket revizyonuyla da karşılaştırın. Komut satırı PHP sürümü ile web sitesinin kullandığı PHP sürümü farklı olabilir. Gerçek web ortamını da kontrol edin.

4. Imunify360 güvenlik kurallarını güncelleyin

Imunify360 kullanan sunucularda WAF kural setinin 8.85 sürümünde olduğunu doğrulayın. Eski kurallar için:

imunify360-agent update --force modsec-rules

LiteSpeed kullanıcıları dikkat: 8.83 kurallarında bazı saldırı istekleri yalnızca kayıt altına alınıyordu. LiteSpeed'i de kapsayan ek engelleme kuralları 8.84 ile yayımlandı. 8.85 daha fazla koruma sağlıyor. Bununla birlikte WAF, PHP güvenlik yamasının yerine geçmez. ImunifyAV ve ImunifyAV+ tek başına aynı WAF korumasını sağlamaz.

5. Hemen güncelleme yapamıyorsanız

Geçici önlem olarak PHP'nin etkin sunucu yapılandırmasında şu özelliği kapatabilirsiniz:

session.upload_progress.enabled = Off

Değişiklikten sonra PHP çalışan süreçlerini yenileyin. Bu işlem yalnızca belirli saldırı yollarını sınırlar; iki güvenlik açığını tamamen ortadan kaldırmaz. Bazı özel dosya yükleme ilerleme göstergeleri etkilenebilir. En kısa sürede resmî güvenlik yamalarını yükleyin.

Güncelleme sonrası kontroller

• Web sitelerinin düzgün açıldığını, oturum açma ve dosya yükleme işlemlerinin çalıştığını doğrulayın.
• Yamalı PHP paketlerinin kurulduğunu ve eski PHP süreçlerinin yenilendiğini kontrol edin.
• Sunucu ve WAF kayıtlarını, beklenmedik dosya değişikliklerini ve yetkisiz erişim belirtilerini inceleyin.
• Şüpheli bir durum varsa yalnızca güncelleme yapmakla yetinmeyin; güvenlik olayı incelemesi başlatın.

Yönetilen hosting ve VPS/VDS müşterileri

Paylaşımlı veya tam yönetilen hosting müşterilerimiz güncelleme durumunu hizmet sağlayıcılarından öğrenebilir. Kendi işletim sistemini ve uygulamalarını yöneten VPS/VDS veya kiralık sunucu müşterilerimiz, hizmet yönetim kapsamına göre PHP paketlerinin güncellenmesinden ve uygulama testlerinden sorumludur. Teknik ekibimizden destek talep edebilirsiniz. Bu duyuru, belirli bir müşteri sunucusunun saldırıya uğradığı anlamına gelmemektedir. Amaç, doğrulanmış kritik güvenlik açıklarına karşı müşterilerimizin gecikmeden önlem almasını sağlamaktır.

Resmî kaynaklar

• PHP güvenlik açıklaması
• cPanel kritik güvenlik duyurusu
• CloudLinux PHP ve Imunify360 duyurusu
• CloudLinux güncelleme durumu

Son güncelleme: 22 Ekim 2026. Güncelleme sırasında sağlayıcıların en son resmî yönergelerini kontrol ediniz.