PHP programlama dilinde iki kritik güvenlik açığı tespit edildi. Bu açıklar, dünya genelinde çok sayıda web sitesini etkiliyor. PHP geliştiricileri, 21 Ekim'de saldırganların kimlik doğrulaması olmadan sunucuları uzaktan ele geçirmesine yol açabilecek bu açıklar için acil güncellemeler yayınladı. Açıklar, WordPress, Joomla, Drupal gibi popüler içerik yönetim sistemleri ve Magento gibi e-ticaret platformları dahil tüm web isteklerini işleyen PHP kurulumlarını etkiliyor.
Açıkların Detayları
CVE-2026-109618 ve CVE-2026-109619 olarak tanımlanan açıkların her biri, CVSS ölçeğinde 10 üzerinden 9,2 puan aldı. İlk açık, bellek limitlerinin yanlış yönetilmesi sonucu PHP'nin istek işlemesi sırasında oluşan out-of-memory (OOM) bozulmasına dayanıyor ve bu durum uzaktan kod çalıştırmaya (RCE) yol açabiliyor. İkinci açık ise, belleği boşaltılan dahili verilerin kalıcı hale gelmesiyle oluşan stale global state problemine dayanıyor; sonraki istekler, normal başlatma gerçekleşmeden önce bu artık verileri kullanarak sistemi istismar edebiliyor.
Kimler Risk Altında?
Web isteklerini işleyen tüm PHP ortamları risk altında. Özellikle Apache ile mod_php, PHP-FPM, php-cgi, FrankenPHP veya LiteSpeed kullanan sistemler daha savunmasız. En yüksek risk, herhangi bir uygulama kodu çalışmadan önce istismarın mümkün olduğu mod_php kurulumlarında görülüyor. Desteklenmeyen eski PHP sürümleriyle çalışan sistemler, resmi güncelleme almadığı için daha fazla tehlike altında; bazı tedarikçiler geriye dönük yamalar sağlayabiliyor.
Sektör İçin Sonuçlar
iGaming ve online bahis sektöründe faaliyet gösteren operatör, affiliate ve tedarikçiler için bu açıklar, hem güvenlik hem de iş sürekliliği açısından ciddi tehdit oluşturuyor. Sektördeki birçok web sitesi, ön yüz ve arka uç işlemlerinde PHP tabanlı platformlara güveniyor. Başarılı bir saldırı, müşteri verilerinin tehlikeye girmesine, hizmet kesintilerine ve itibar kaybına yol açabiliyor. Regülatörler, olası yaygın etkiler nedeniyle operatörleri daha yakından inceleyebilir. Uyumun ve kullanıcı verilerinin korunması için acil yama yapılması gerekiyor.
Çözüm ve Sonraki Adımlar
PHP'nin 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde açıklar için yamalar var. Tüm kullanıcıların mümkün olan en kısa sürede güncelleme yapması öneriliyor. Bazı Linux dağıtımları ve uzun vadeli destek veren tedarikçiler, yamaları önceden dağıttı. Hemen güncelleme yapamayanlar için bellek ve oturum ayarlarını değiştirmek gibi geçici önlemler önerilse de, bu yöntemler riski tamamen ortadan kaldırmıyor. Desteklenmeyen PHP sürümlerini kullananların güncelleme yapması veya tedarikçilerinden geriye dönük güvenlik yamaları istemesi gerekiyor.
Öne Çıkanlar
- İki kritik PHP açığı, kimlik doğrulamasız uzaktan kod çalıştırmaya imkan veriyor.
- Popüler CMS ve e-ticaret platformları dahil tüm PHP tabanlı web sunucuları risk altında.
- En güncel PHP sürümlerine acilen geçilmesi öneriliyor.
- Operatör ve affiliate'ler, veri güvenliği ve uyum için hızlı hareket etmeli.