PHP’de, saldırganların kimlik doğrulaması yapmadan sunucuda kod çalıştırmasına yol açabilen iki kritik güvenlik açığı duyuruldu:

• CVE-2026-109618
• CVE-2026-109619

Başarılı bir saldırı sunucudaki dosyaları ve verileri tehlikeye atabileceği için güncellemenin ertelenmemesi gerekiyor. PHP’nin resmî açıklamasında, internet üzerinden web isteklerini işleyen PHP kurulumlarının risk altında olduğu belirtiliyor. PHP-FPM veya nginx kullanıyor olmak da tek başına koruma sağlamıyor.

21 Ekim 2026 tarihli duyuruda, düzeltmelerin bulunduğu sürümler şöyle belirtiliyor:

• PHP 8.2 kullananlar için: 8.2.35
• PHP 8.3 kullananlar için: 8.3.36
• PHP 8.4 kullananlar için: 8.4.27
• PHP 8.5 kullananlar için: 8.5.12

Bunlar ilgili PHP dallarında bu iki açığın düzeltildiği ilk sürümler. Aynı dalda daha yeni bir güvenlik güncellemesi varsa o sürüm de tercih edilebilir.

Burada önemli bir ayrıntı var: Sadece “PHP 8.3 kullanıyorum” demek yeterli değil. Sürümün tamamını kontrol etmek gerekiyor. Örneğin kullandığınız sürüm 8.3.35, ise düzeltmenin bulunduğu sürüm 8.3.36 dır.