PHP üzerindeki siteler kapatılıyor! Hem de sahipleri tarafından.

Dün PHP için CVE-2026-109618 ve CVE-2026-109619 olarak iki CVE rezerve edildi. PHP geliştiricileri Çarşamba günü güvenlik güncellemesi yayınlayacağını duyurdu. Ancak henüz yama gelmedi.

Avrupa'daki bir muhasebe sistemi X'ten de paylaşarak 'PHP kullanıyoruz, bu nedenle geçici olarak hizmet vermeyi durdurduk diyerek' web sitesine not düşmüştü.

Ayrıca GrapheneOS Forum da geçici olarak güvenlik yaması gelene kadar risk almamak adına forumunu kapattı. https://discuss.grapheneos.org/

PHP kullanan bir çok site yama gelmediği için tedbir amaçlı geçici olarak kapatılıyor.

yamayı niye anlık yayınlamayıp gün veriyolar saçma değil mi?

saçma değil hocam, bilerek gün veriyorlar. herkese aynı anda hazırlanma şansı tanıyorlar, yoksa yama çıkar çıkmaz açığı patlatırlar. bir de test edip bir şeyi bozmayacaklarından emin olmaları lazım.

CERT-EU (avrupa siber güvenliği) yama uygulayabiliyorsanız en kısa sürede yama uygulayın ya da açık uygulamalarınızı kapalıya alın diyor.

Durum ciddi galiba. Aslında CVE'deki zaafiyet kolay kolay kullanılamıyor. Her sunucu, işletim sistemi sürümü, php sürümü ve web sunucu sürümü için farklı bir HEX adresi (0XYYYY) kullanılması gerek. Kaba kuvvet ile botlar deniyor. Her istekte farklı hex adresi için deneyip, bulduklarında zaafiyeti kullanabiliyorlar.

Bir kaç PoC denemesi yaptım ama Nginx'te çalışmıyor nedense. Apache ve LiteSpeed'de deneyenler başarılı olmuş, yazmışlar tweet'te.

Saldırılacak sitenin Nginx-apache-litespeed x.y.z, debian x.y.z, php x.y.z build x, gibi varyasyonlarını önceden bilmek gerekiyor sanırım. Önce kendi sistemlerine ihtimal dâhilinde olan sürümleri kurup, her bir farklı varyasyonun hex'ini orada hesaplayıp sonra uzak sunucudaki zaafiyeti kullanabiliyorlar. Ya da direkt ddos atar gibi n+1 ile hex'i bruteforce ile rastgele tutturmaya çalışıyorlar.

Güzel hostingden mail geldi,
şöyle yazıyor
Açıkla ilgili henüz PHP tarafından bir yama yayınlanmamış olup, tarafımızdan da test edildiğinde, aşağıdaki php.ini ayarının sorunu çözdüğü görülmüştür:

session.upload_progress.enabled = Off

Tarafımızdan alınan önlemler bu şekildedir:

Bu işe yaramıyor. Birisi uydurdu bunu. PoC hâlâ çalışıyor.

Bana da geldi ama çokta işe yaramadığını düşünüyorum, sadece geçici bir çözüm bu

https://jackalsyn.com/posts/php-up-2026.html

Burada gerçek bir risk olmadığına dair rapor oluşturulmuş. kod çalıştırma gibi bir durum söz konusu değilmiş.

Php ölmedi.