PHP Güvenlik Açığı ile İlgili Net ve Basit Anlatım

1. Hata Kodları Neyi İfade Ediyor.

a. CVE-2026-109618: Bellek yetersizliği (out-of-memory) durumunda bellek bozulması oluşuyor.
b. CVE-2026-109619: İstekler arasında saklanan durumla ilgili bir use-after-free hatası.

2. Asıl Sorun Website Değil Sunucu Tarafındadır.

Web isteği karşılayan her PHP kurulumu risk altında: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed. En riskli olan Apache mod_php.

3. Güvenli PHP Sürümleri

PHP 8.5 için -> 8.5.12
PHP 8.4 için - 8.4.27
PHP 8.3 için - 8.3.36 (php 8.3 hiç kullanılmaması öneriliyor)
PHP 8.2 için - 8.2.35
PHP 8.1 için destek yok.

4. Neler Yapılması Gerekiyor?

a. VPS, VDS sunucu kullanıyorsanız PHP-FPM, Apache veya LiteSpeed servisleri varsa bunları yeniden başlatmanız gerekiyor.
b. Website (wordpress, joomla, laravel vs...) tarafında yapılacak bir kod düzenlemesi yok!!!
c. Paylaşımlı sunucu kullanıyorsanız, bu sorunu düzeltmek hosting sağlayıcınızın sorumluluğundadır.

nginx kullanıyoruz sorun olurmu

Php 7 için sunucunuzda Cloudlinux varsa CloudLinux'un normal deposunda yeni alt-php72 7.2.34-97 paketleri var bunu sunucunuza yükleyin. iki açık da (CVE-2026-109618 ve CVE-2026-109619) kapatılmış olarak geçiyor.
Ayrıca sunucunuzda imunify360 security varsa cloudlinux le birlikte bu açığı tamamen bertaraf etmiş oluyorsunuz.

nginx tek başına php çalıştırmıyor hocam, arkada php-fpm ya da benzeri bir servis vardır ona bakman lazım. php sürümün konuda yazan güvenli sürümlerden eskiyse etkileniyorsun demektir, güncelleyip php-fpm servisini yeniden başlatman yeterli.

Sunucunuzdaki tüm servisleri yeniden başlatıp php sürüm kontrolü yapıp güvenli sürümlere yükseltme yapın.
Her sunucu farklı işletim sistemi farklı altyapı kullanıyor. Bu sebeple her sunucu için ayrı ayrı php sürüm yükseltme kodu yazmam mümkün değil. Yapay zekadan yardım alın.

bence balon olabilir bu hiçbir yer hacklenmiyor

balon değil hocam, cve kayıtları açık, yamalı sürümler yayınlanmış. her açığın patlamaması normal, fırsatını bulan kullanır. sürümünü kontrol edip geçtiysen sorun yok valla.

hackleme , shell atma devirleri eskide kaldı. Akıllı adam bunları yapmaz, fixlenip ölü hat'a dönüşeceğini bilir, datayı çeker ve ufak bir değişken bırakır çıkar, hayalet gibi yıllarca kullanır.