PHP'deki iki kritik açık yamalandı, ama saldırılar zaten başlamıştı

PHP geliştiricileri, 21 Ekim'de uzaktan kod çalıştırmaya izin veren iki kritik açığı acil sürümlerle kapattı; saldırı girişimleri yamalardan günler önce başlamıştı.

PHP'nin geliştiricileri 21 Ekim'de iki kritik güvenlik açığını kapatan acil sürümleri yayımladı. CVE-2026-109618 ve CVE-2026-109619 olarak tanımlanan açıklar CVSS v4.0 ölçeğinde 9.2 puanla derecelendirildi ve kimlik doğrulaması olmadan uzaktan kod çalıştırmaya olanak tanıyor. Sansec'e göre açıklar, yamalanmamış 5.4 sürümünden itibaren tüm PHP sürümlerinde mevcut.

Saldırılar yamalardan önce başlamıştı. Amazon Threat Intelligence, MadPot telemetrisinde 17 Ekim'e uzanan bir sömürü girişimi tespit etti; girişim anonimleştirme ağına kadar izlendi. Cloudflare ise sürümlerden yaklaşık dokuz saat önce, 21 Ekim 03:02 UTC'de WAF kurallarını devreye aldı.

Koordineli açıklama süreci de bozuldu. Tanımlayıcılar erken sızdı, bir araştırmacı kavram kanıtı niteliğinde bir video yayımladı, Chainguard ise düzeltmeyi içeren hazır imajları planlanan tarihten önce yayınladı.

Etkilenme sunucu modeline göre değişiyor. Apache mod_php üzerinde sömürülebilirlik doğrulandı, PHP-FPM için kısmi gösterim yapıldı, FrankenPHP ise kaynak kod incelemesine göre büyük olasılıkla savunmasız görünüyor. PHP geliştiricileri, güncellemenin tek güvenli seçenek olduğunu ve her worker sürecinin yeniden başlatılması gerektiğini bildirdi. Dağıtım paketlerinde ise geriye dönük yamalar eski üst akış sürüm numarasını koruduğu için sürüm numarası yanıltıcı olabiliyor.

Sansec, halka açık sömürülerin varsayılan bir kurulumda işe yaramadığını düşünüyor; yine de saldırı karmaşıklığı yüksek olarak derecelendirildi. Uzmanlar, birçok kavram kanıtı deposunun güvenilmez ya da zararlı olabileceği konusunda uyarıyor. Ayrıca CVE-2026-115560 kodlu üçüncü bir sorun yamalanmadı; PHP, sonraki bir hata düzeltme sürümüne kadar session.upload_progress.enabled ayarının kapatılmasını öneriyor.