PHP Güvenlik Açığı: CVE-2026-109618 ve Yama Rehberi

PHP güvenlik açığı, 2026 Ekim'inde bir yapay zekâ girişimi sayesinde gün yüzüne çıktı. OpenAI'ın "Patch the Planet" girişimi, web sitelerinin tahminen yüzde 70'ini çalıştıran PHP'de iki kritik uzaktan kod çalıştırma açığının bulunup kapatılmasını koordine etti. Açıklar CVE-2026-109618 ve CVE-2026-109619 olarak kayıtlı. İkisi de CVSS v4.0'da 9,2 puan aldı. Güncelleme artık bir tercih değil, zorunluluk.

Kısaca:

PHP'de iki kritik açık bulundu: CVE-2026-109618 ve CVE-2026-109619.

Düzeltme sürümleri: PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35.

PHP 8.1 ve daha eski sürümler için resmi yama yok.

Tam bir önlem bulunmuyor; güvenli tek yol güncellemek.

PHP güvenlik açığı tam olarak ne?

İki açık da uzaktan kod çalıştırma sınıfında. Yani saldırgan, savunmasız bir sunucuda kendi kodunu çalıştırabiliyor. Topluluk bu ikiliye "PHP2Shell" adını verdi. İkisi de CVSS v4.0 ölçeğinde 9,2 puanla kritik seviyede. Plesk gibi hosting panelleri de kendi paketlerindeki PHP için ayrı bir bülten yayımladı.

Açıklardan biri OpenAI'ın GPT-5.6 Sol modeliyle çalışan güvenlik firması Calif tarafından bulundu. Wiz ise her iki açığı bağımsız olarak keşfedip bildirdi. Yani bulgu tek bir kaynağa dayanmıyor. Bu, açığın gerçekliği konusunda önemli bir güvence.

Patch the Planet nedir ve nasıl işledi?

Patch the Planet, OpenAI'ın yapay zekâ ajanlarının bulduğu açıklar için küresel müdahaleyi koordine etmeyi amaçlayan girişimi. İlk olarak 22 Haziran 2026'da tanıtıldı. OpenAI, son iki ayda PHP bakımcıları, araştırmacılar ve diğer paydaşlardan oluşan bir koalisyona liderlik ettiğini söylüyor. Bu sürenin uzun olmasının nedeni, düzeltmenin PHP motorunda büyük bir değişiklik gerektirmesi.

OpenAI ayrıca beş aşamalı bir koordinasyon çerçevesi öneriyor ve güvenlik topluluğundan bu çerçeveyi eleştirmesini istiyor. Şirket, bu tür bulguların önümüzdeki aylarda sert biçimde artmasını bekliyor. Kaynakları kısıtlı kuruluşlar için sübvansiyonlu Daybreak erişimi için 1 milyar dolarlık bir taahhütte de bulundu. Bu nakit bağış değil, erişim desteği.

Hangi PHP sürümleri güvenli?

Düzeltme dört aktif dalda yayımlandı. Aşağıdaki tablo hangi sürümde ne yapmanız gerektiğini özetliyor.

Kullandığınız sürüm	Yapmanız gereken
PHP 8.5	8.5.12'ye güncelleyin
PHP 8.4	8.4.27'ye güncelleyin
PHP 8.3	8.3.36'ya güncelleyin
PHP 8.2	8.2.35'e güncelleyin
PHP 8.1 ve eski	Resmi yama yok; desteklenen bir sürüme geçin

Sürüm numaraları resmi PHP sitesinde yayımlandı. PHP ekibi, tam bir önlem bulunmadığını ve güncellemenin tek güvenli seçenek olduğunu belirtiyor. Joomla ve WordPress gibi sistemleri çalıştıranlar için de PHP güvenlik sürümü hakkındaki değerlendirme aynı sonuca varıyor: eski sürümlerde kalmak risk demek.

Açıklar şu an sömürülüyor mu?

Bu konuda kaynaklar ayrışıyor. CISA, acil yama çağrısı yaptı ve yayım anında bu açıkların sömürüldüğünü gözlemlemediğini belirtti. watchTowr ise açıkların sömürüldüğünü bildiriyor. Bu iddia resmi PHP veya CISA kaynaklarıyla doğrulanmış değil.

Pratikte fark etmez. Kritik bir uzaktan kod çalıştırma açığında, saldırı kodunun ortaya çıkması için genellikle yama ayrıntılarının incelenmesi yeterli. Yamayı geciktirmenin bir faydası yok.

İşletmeniz için PHP güvenlik açığı ne anlama geliyor?

Web sitenizi ya da iç sisteminizi PHP ile çalıştırıyorsanız bu haber sizi doğrudan ilgilendiriyor. Özellikle şunlara bakın:

Sunucu sürümünü öğrenin. Hosting panelinizden ya da php -v komutuyla çalışan sürümü kontrol edin.
Güncellemeyi planlayın. Yukarıdaki tabloda size uyan düzeltme sürümüne geçin.
Eski sürümü terk edin. PHP 8.1 ve öncesini kullanıyorsanız yama gelmeyecek; desteklenen bir dala taşınmak şart.
Hosting sağlayıcınıza sorun. Paylaşımlı barındırmada güncellemeyi sağlayıcı yapar. Yapıp yapmadığını teyit edin.
Bağımlılıkları test edin. Yeni sürümde eklentilerin ve çerçevelerin sorunsuz çalıştığından emin olun.

Güncelleme sonrası uygulamanın bozulmasından çekinen işletmeler genellikle güncellemeyi erteler. Bu, sürüm yükseltmesini düzenli bir alışkanlığa çevirmenin ne kadar değerli olduğunu gösteriyor. Güvenliği yazılım geliştirme sürecinin başından düşünmek için KVKK uyumlu yazılım geliştirme rehberimize de göz atabilirsiniz.

Yapay zekâ açık bulmada neden önemli hale geldi?

Bu olayın asıl dikkat çekici yanı, açıkların bir yapay zekâ modeliyle bulunması. OpenAI'ın GPT-5.6 Sol modeli, saldırganlardan önce açığı işaret edenler arasındaydı. Bu iki yönlü bir gelişme: savunmacılar açıkları daha hızlı bulabiliyor, ama aynı yetenek saldırganların eline de geçebilir.

OpenAI da bu yüzden koordinasyona vurgu yapıyor. Açığı bulmak tek başına yetmiyor; bakımcıların düzeltmeyi hazırlaması, dağıtıcıların paketlemesi ve kullanıcıların güncellemesi gerekiyor. Zincirin en zayıf halkası çoğu zaman son adım, yani güncellemenin gerçekten uygulanması.

Yapay zekâ ajanlarının güvenlik tarafındaki başka bir riski için prompt injection yazımıza bakabilirsiniz.

Sıkça sorulan sorular

PHP2Shell nedir?

PHP2Shell, CVE-2026-109618 ve CVE-2026-109619 açıklarına topluluğun verdiği ortak ad. İki açık da uzaktan kod çalıştırmaya izin veriyor. Bir saldırgan başarılı olursa sunucuda komut çalıştırabilir.

PHP 8.1 kullanıyorsam ne yapmalıyım?

PHP 8.1 ve daha eski sürümler için resmi yama yok. Desteklenen bir sürüme, yani 8.2, 8.3, 8.4 ya da 8.5 dalına geçmeniz gerekiyor. Geçişi test ortamında deneyip sonra canlıya almak en güvenlisi.

Güncelleme dışında bir önlem işe yarar mı?

PHP ekibine göre tam bir önlem yok ve güncelleme tek güvenli seçenek. Güvenlik duvarı kuralları gibi ek katmanlar riski azaltabilir ama açığı kapatmaz. Asıl çözüm düzeltilmiş sürüme geçmek.

Patch the Planet kimlere yardım ediyor?

Girişim, yapay zekâyla bulunan kritik açıkların koordineli biçimde düzeltilmesini hedefliyor. OpenAI ayrıca kaynakları kısıtlı kuruluşlara sübvansiyonlu Daybreak erişimi için 1 milyar dolarlık taahhütte bulundu. Bu bir nakit bağış değil, erişim desteği.

Sonuç

PHP'deki iki kritik açık, yapay zekâ destekli güvenlik araştırmasının artık gerçek ve büyük ölçekli sonuçlar ürettiğini gösteriyor. İşletmeniz için yapılacak iş net: sürümünüzü kontrol edin, uygun düzeltme sürümüne geçin ve desteklenmeyen sürümlerden kurtulun. Ayrıntılı bilgi için OpenAI'ın resmi yazısını okuyabilirsiniz. Yazılımınızın güncelliğini ve güvenliğini birlikte gözden geçirmek isterseniz EngerekTech ekibi bu konuda yardımcı olabilir.