İnternetin omurgası olarak nitelendirilen PHP’de 2 kritik güvenlik açığı tespit edildi. Web sitelerinin yüzde 70’inde kullanılan PHP programlama dilinde iki kritik güvenlik açığı daha tespit edildi ve PHP geliştirme ekibi, 20 Ekim’deki duyuruyla açıkları kapatan acil yamaların yayımlandığını bildirdi. Ekip, acil yamaları yayımladı.
Açıklar, CVSS v4.0 sisteminde 10 üzerinden 9,2 puan alırken siber güvenlik şirketi watchTowr tehlikeyi 10 üzerinden 10 olarak değerlendirdi. Teknik detaylar ve etkilenen sürüm aralıkları henüz tam açıklanmadı. Araştırmacılar açıkları OpenAI’ın GPT-5.6 Sol modelini kullanarak keşfetti; Google çatısı altındaki Wiz de bulguyu kendi yapay zekâ araçlarıyla bağımsız olarak doğruladı.
CVE-2026-109618 ve CVE-2026-109619 kodlu açıkların uzaktan kod yürütmeye imkân tanıdığı öne sürülüyor ve “PHP2Shell” adlı istismar aracına ait videoda şu platformlarda kod çalıştırılabildiği iddia ediliyor. İddia edilen platformlar şöyle: – WordPress 7.1.3 – MediaWiki 1.46.2 – phpBB 3.3.17 – Magento 2.4.9 – Joomla 6.2.0 – Laravel 13.36.0 – Symfony 8.1.9 – Drupal 11.4.10 – WHMCS 9.0.9
watchTowr, en az bir açığı laboratuvar ortamında yeniden ürettiğini açıkladı. Güvenlik şirketi Sansec ise yamaların ardından ilk kitlesel saldırı dalgasının 15 dakika içinde başlayabileceği uyarısında bulundu.
Terim: yama
Yama, bir yazılımdaki hatayı ya da güvenlik açığını kapatan güncellemedir.