Trusence Her iddianın bir kaynağı var
Son güncelleme: 27 Ekim 2026 Ara English
Güvenlik

CISA, PHP'deki iki açığı aktif sömürü nedeniyle KEV kataloğuna ekledi

CVE-2026-109618 ve CVE-2026-109619 kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına izin veriyor; federal kurumların düzeltmeleri 29 Ekim 2026'ya kadar uygulaması gerekiyor.

27 Ekim 2026 1 dk okuma

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), yakın zamanda yamalanan iki PHP açığını Bilinen Sömürülen Güvenlik Açıkları kataloğuna ekledi. Ajans, bal tuzağı (honeypot) testlerinde bu açıkların uzaktan kod çalıştırılması için gerçekten kullanıldığını doğruladı. CVE-2026-109618 ve CVE-2026-109619 kodlu açıkların ikisi de CVSS puanlamasında 9.2 aldı ve etkilenen sistemlerde saldırganların kimlik doğrulaması yapmadan kod çalıştırmasına olanak tanıyor.

Düzeltmeler 21 Ekim 2026'da yayımlanan PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde yer alıyor. ABD federal kurumlarının bu yamaları 29 Ekim 2026'ya kadar uygulaması gerekiyor. Öte yandan PHP Foundation, cURL üzerinden, otomatik yanıt açma özelliği etkinken erişilebilen ayrı bir Brotli çözücü açığı olan CVE-2026-111497 için Windows sürümleri yayımladı; bu açık bir sınır dışı yazma hatasından kaynaklanıyor.

Censys'in tahminine göre, etkilenen bir sürümü hâlâ çalıştıran 32,51 milyondan fazla PHP servisi bulunuyor.

Neden önemli

PHP ile çalışan ve dışarıya açık servisleri yöneten ekipler için bu açıklar doğrudan bir güncelleme işi anlamına geliyor: sunucularında hangi PHP sürümünün çalıştığını kontrol etmek ve 8.5.12, 8.4.27, 8.3.36 ya da 8.2.35 sürümlerine geçmek gerekiyor. cURL'ü otomatik yanıt açma ile kullanan Windows sistemlerinde ise CVE-2026-111497 için de ayrı bir yama bekleniyor. Milyonlarca servisin hâlâ etkilenen sürümde çalışıyor olması, bu açıkların geniş bir yüzeyde sömürülebileceğini gösteriyor.

Dizi Kritik PHP açıkları

  1. 27 Eki CISA, PHP'deki iki açığı aktif sömürü nedeniyle KEV kataloğuna ekledi
  2. 26 Eki PHP'deki kritik açıklar, internetin büyük bölümünü yamalamaya zorluyor
  3. 26 Eki Endüstriyel üreticiler PHP2Shell açıklıklarına karşı ürünlerini inceliyor
  4. 26 Eki PHP'deki iki kritik açık ilk kez gerçek saldırılarda kullanıldı
  5. 25 Eki PHP2Shell açıkları Avrupa'da bir kamu kurumunu ele geçirdi; saldırganlar yapay zekâ destekli araçlar kullandı
  6. 25 Eki PHP'deki iki kritik açık yamalandı, ama saldırılar zaten başlamıştı
Dizinin tamamı · 17 haber →

Kaynaklar · 1

Yayından önce kaynaklarla karşılaştırıldı · 27 Ekim 09:08