[CVE 9.2] PHP Windows Paketlerinde Kritik Brotli Açığı (CVE-2026-111497)

PHP Windows Paketlerinde Kritik Brotli Güvenlik Açığı (CVE-2026-111497)

PHP ekibi, 26 Ekim 2026 tarihinde Windows için yayımlanan PHP paketlerinde bulunan Brotli kütüphanesindeki güvenlik açığını gidermek üzere güncellenmiş paketleri yayımladı.

Güvenlik detayları

• CVE: CVE-2026-111497
• Önem derecesi: Kritik (CVSS 4.0: 9.2/10)
• Zafiyet türü: Bellek sınırlarının dışına yazma (Out-of-Bounds Write)
• Olası etki: Bellek bozulması ve uzaktan kod çalıştırma (RCE)

Hangi sistemler etkileniyor?

Açık, PHP'nin resmi Windows paketlerinde bulunan Brotli kod çözücüsünü etkiliyor. cURL eklentisi üzerinden HTTP yanıtlarının otomatik olarak açılması etkinleştirildiğinde savunmasız kod yoluna ulaşılabiliyor.

cURL'de bu özellik varsayılan olarak kapalıdır. Ancak uygulamalar ve Guzzle gibi HTTP istemci kütüphaneleri tarafından etkinleştirilebilir.

Önemli: Bu duyuru, PHP'nin resmi Windows paketleriyle ilgilidir. Linux sunucular, bu spesifik Windows paketindeki açıktan doğrudan etkilenmez. Bununla birlikte, Linux sistemlerde kullanılan Brotli kütüphanelerinin sürümleri ayrıca değerlendirilmelidir.

Yayımlanan güncellemeler

• PHP 8.2.35-1
• PHP 8.3.36-1
• PHP 8.4.27-1
• PHP 8.5.12-1

Bu paketler, güvenlik açığını gideren Brotli 1.2.1 sürümünü içeriyor. Dosya adındaki -1 eki, PHP sürümü değişmeden bağımlılıkları güncellenmiş yeni Windows paketini ifade ediyor.

Sunucu yöneticileri ne yapmalı?

Windows sunucularında PHP kullanıyorsanız kurulu paketin tam sürümünü ve derlemesini kontrol edin. Etkilenen paketleri güncellenmiş sürümlerle değiştirin.

Güncelleme hemen yapılamıyorsa HTTP istemcilerindeki otomatik yanıt çözümleme özelliğini geçici olarak devre dışı bırakmayı değerlendirin. Bu, kalıcı güncellemenin yerine geçmez.

Resmi kaynaklar

PHP duyurusu:
https://www.php.net/archive/2026.php#2026-10-26-1

PHP Windows indirmeleri:
https://www.php.net/downloads.php?os=windows

Brotli 1.2.1 sürüm notları:
https://github.com/google/brotli/releases/tag/v1.2.1

CVE kaydı:
https://nvd.nist.gov/vuln/detail/CVE-2026-111497

Windows sunucularında PHP çalıştıran yöneticilerin paketlerini kontrol etmeleri ve gerekli güncellemeleri uygulamaları önerilir.

Bilgilendirme için teşekkürler

mecburuz takip etmeye elimiz değmişken bilgi verelim dedim,
Aslında @CemC; şurada değinmiş : https://www.r10.net/guvenlik/4912599...yayinladi.html kritik bilgi php tarafında duyrulması görünmesi gerekir diye düşündük.

Yeni fark ettim Cem abi gerçekten gündemin nabzını tutuyor ve en önemli gelişmeleri dakik olarak paylaşıyor kendisine ve sizlere minnettarız

Yapay zeka herkesin bildiği umursamadığı şeyleri krize çevirdi, E geliştiriciler de işe hız vermek zorunda kaldı. Yakında açıkları kapatmak için yapılan yamaların yeni açıklara sebep olduğu haberleri de artacaktır zannediyorum.

Cümle
Ben de aynı fikirdeyim. Servislerin ve bileşenlerin birbirine bağımlı olduğu bu ekosistemde, bir açığı kapatmak için yapılan değişikliklerin başka güvenlik açıklarına yol açması ihtimal dahilinde. Bu nedenle yamaların kapsamlı testlerden geçirilmesi her zamankinden daha kritik hale geliyor. mesela Panelica tarafında sayısız testler yapıyoruz ve gerçekten yorucu. AI araçlarının bu açıkları bulması bir yandan güzel daha güvenilir bir ortam oluşur ümidi taşıyoruz; fakat hem fikir olduğumuz Cümle gerçek olursa güvenli ortam hiç olmayabilir de sürekli açık bul kapat devam et sonu nereye gidecek bakalım.

Kesinlikle, Koranavirüs zamanında bir korku yaydılar havada kalıyor dokunduğunuz yerde olabilir sizden önce yürüyenden size geçebilir gibi. Buda gerçekten aynı korkuyu veriyor. Sanıyorum bu işler en çok cloudflare gibi firmalara getiri sağlayacak.
Yapay zeka sandığımızdan daha büyük bir Mafia Olma yolunda ilerliyor.
--
Google amcaya düz mantık sordum kaç bilgisayarı vardır openai'nin diye
Şirketin sahip olduğu bilgi işlem gücüne dair güncel veriler şu şekildedir:

• • Toplam GPU Sayısı: OpenAI CEO'su Sam Altman'ın açıklamalarına ve sektör analizlerine göre, OpenAI'ın dünya genelindeki veri merkezlerinde 1 milyondan fazla yapay zekâ işlemcisi (GPU) aktif olarak çalışmaktadır. Şirket, bu kapasiteyi gelecekte 100 katına (100 milyon GPU) çıkarmayı hedeflemektedir. [1, 2]
  • Model Eğitimi: OpenAI, sadece tek bir yapay zekâ modelini (örneğin GPT-5 veya GPT-6 Astra) eğitmek için tek seferde 100.000 ila 200.000 arası son teknoloji Nvidia GPU'sundan oluşan devasa bilgisayar kümelerini (cluster) birbirine bağlayarak tek bir süper bilgisayar gibi çalıştırmaktadır. [
    1, 2, 3]
  • Veri Merkezleri: OpenAI, ana ortağı Microsoft (Azure) başta olmak üzere Oracle gibi bulut devleriyle birlikte çalışmaktadır. Şirketin operasyonlarını yürüttüğü ve toplam gücü 1.9 gigawatt'ı aşan 25'ten fazla aktif veri merkezi bulunmaktadır. Ayrıca gelecekte kurulması planlanan ve "Stargate" adı verilen 100 milyar dolarlık yeni nesil süper bilgisayar projeleri de gündemdedir. [1, 2, 3, 4, 5, 6]

Özetle OpenAI, evlerimizde kullandığımız anlamda tekil bilgisayarlar yerine, yüz binlerce işlemcinin bir arada çalıştığı dünyanın en güçlü süper bilgisayar ağlarından birini yönetmektedir.
--
1 milyon tane Lamer'i bile bir araya getirsen istediğini koparır alırsın, ya haracını vereceksin (bankalar, holdingler, devletler) yada yok olup gideceksin diyorlar. Bu açıkların reklamlarının bu kadar büyümesini bile buna bağlıyorum.

Böylesi gücün karşısında Asıl mesele Güvenlik açıkları ve bağımlılıklar bu hızla artarken, bir sunucuyu güvenli tutmak için sürekli yeni önlemler alıyoruz. Fakat her yeni katman, beraberinde yeni bir karmaşıklık da getiriyor; Belki de yalnızca açıkları kapatmaya odaklanmak yerine., bir bileşen ele geçirildiğinde bile sistemin geri kalanını koruyabilecek mimarilere yönelmemiz gerekiyor. Çünkü bu gidişle güvenliği yalnızca yamalarla sürdürülebilir kılmak giderek zorlaşacak.

Gerçekten öyle ne zaman yapay zeka şirketleri birbiri ile kapışmaya başlayacak işte o zaman işler bambaşka bir hal alacak.
Yaptığınız iş gerçekten çok değerli bir iş, Nasipse projelerimiz belli bir aşamaya geldi gerçekten server'a geçecek hale geldiğimizde Aklımın baş köşesindesiniz. Selamlar