PHP GÜVENLİK UYARISI!

Resmi Açıklama adresinden okuyunuz.

PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri, kimlik doğrulaması yapılmadan uzaktan kod yürütülmesine olanak sağlayabilen iki kritik güvenlik açığını gidermektedir. Tüm PHP kullanıcılarının derhal güncellemeleri şiddetle tavsiye edilir.

Kimler risk altında: PHP-FPM, mod_php'li Apache, php-cgi, FrankenPHP ve LiteSpeed dahil olmak üzere web isteklerine hizmet veren tüm PHP kurulumları. Riski en yüksek olarak mod_php için değerlendiriyoruz; kimlik doğrulaması yapılmamış bir isteğin, herhangi bir uygulama kodu çalışmadan önce saldırıyı tetikleyebileceği kanıtlanmış bir güvenlik açığı mevcut.

Güvenlik açıkları:

•OOM bozulması yoluyla uzaktan kod yürütme (RCE) , CVE-2026-109618 ( GHSA-w8hw-w9fx-j79w ): Bellek yetersizliği durumunda, dahili istek verileri yalnızca kısmen başlatılmışken PHP kesintiye uğrayabilir. İstek temizleme işlemi daha sonra geçersiz verileri geçerli olarak değerlendirebilir.
•Eski global durum üzerinden uzaktan kod yürütme (RCE) , CVE-2026-109619 ( GHSA-6wmf-4rv5-p3rp ): İstek tarafından sahip olunan dahili durum, destekleyici belleği serbest bırakıldıktan sonra da varlığını sürdürebilir. Aynı çalışan tarafından işlenen daha sonraki bir istek, normal başlatma işlemi sıfırlamadan önce bu eski durumu kullanabilir.

Güncelleme nasıl yapılır:

•PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümlerine güncelleyin. Kaynak kod indirmeleri indirme sayfamızda mevcuttur . Windows kaynak kodu ve ikili dosyaları da aynı sayfada bulunmaktadır .
•Linux dağıtımları ve LTS sağlayıcıları yamaları önceden aldı, bu nedenle güncellenmiş paketler için sağlayıcınızı kontrol edin.
•PHP 8.1 ve daha eski sürümler artık PHP projesinden güncelleme almıyor. Bazı dağıtımlar ve LTS sağlayıcıları geriye dönük düzeltmeler sunuyor, bu nedenle ayrıntılar için sağlayıcınızla iletişime geçin veya desteklenen bir sürüme yükseltin.
•Gönüllüler tarafından sürdürülen depoyu kullanıyorsanız rpms.remirepo.net, güncellemeleri hemen uygulayabilmek için dağıtım paketlerine geçmenizi veya kaynak koddan derlemenizi öneririz. Depoda bugün güncelleme olmayacak.
•Bu güvenlik açıklarının ciddiyeti göz önüne alındığında, PHP güvenlik ekibi, kaynak koddan derleme yapan veya LTS sağlayıcısına erişimi olmayan kişilere yardımcı olmak için PHP 7.4 , PHP 8.0 ve PHP 8.1 için minimum kaynak kodlu geri uyumluluk güncellemeleri sağladı.

Eğer hemen güncelleme yapamıyorsanız: tek başına güncelleme tam bir çözüm olsa da, aşağıdaki önlemler belirli saldırı yollarına karşı maruziyeti azaltır ancak kurulumu tamamen güvenli hale getirmez.

Bellek yetersizliği (OOM) bozulması yoluyla uzaktan kod yürütme (RCE) (CVE-2026-109618):

•Tercihen memory_limit=-1uygulamaların geçersiz kılamayacağı bir şekilde, örneğin php_admin_valueFPM havuzunda veya Apache yapılandırmasında, bellek sınırını ayarlayın ve hiçbir havuz, dizin veya uygulama ayarının sonlu bir sınır koymadığından emin olun. Bu, kontrol edilebilir PHP bellek sınırı hatasını ortadan kaldırır, ancak altta yatan bir tahsis hatası yine de savunmasız yola ulaşabilir.
•Düşük bir değer belirleyin post_max_size. Dosya yüklemesi gerektirmeyen uygulamalar için değerini ayarlayın post_max_size = 8M. Dosya yüklemesi gerekiyorsa değerini ayarlayın post_max_size = 32M. upload_max_filesizeDeğeri altında tutun post_max_size. Çözümlenmiş istek boyutu, giriş alanı sayısı, çok parçalı bölüm sayısı, başlık sayısı ve iç içe geçme derinliği için web sunucusu veya proxy düzeyinde sınırlar uygulamayı düşünün. Bu sınırlar, kullanılabilir bir dosya içermeyen istekleri de kapsamalıdır Content-Length.
•RLIMIT_ASKullanılabilirlik sınırı olarak bir konteyner veya cgroup limiti kullanın, tercihen yalnızca etkilenen çalışanı öldüren bir politika ile. veya kullanmayın RLIMIT_DATA, çünkü bunlar savunmasız tahsis hatasına neden olabilir.

Eski global durum üzerinden uzaktan kod yürütme (CVE-2026-109619):

•Her bir çalışanı ayarlayın session.upload_progress.enabled=0ve yeniden başlatın. İstek ayrıştırmasından önce uygulanan bir FPM havuzu veya sunucu yapılandırması kullanın . veya FPM'ye php.inigüvenmeyin . Bu, onaylanmış oturum yollarını engeller ancak diğer varyantları engellemez.ini_set().user.ini
•PHP 8.5'te, fatal_error_backtraces=0her çalışanı yeniden başlatın. Bu, yalnızca doğrulanmış ölümcül hata izleme yolunu engeller.
•Başlatmadan önce tanılama bilgileri yayan, istek başına uygulanan geçersiz veya kullanımdan kaldırılmış ayarları kaldırın. Tanılama bilgilerini error_reporting, display_errors veya ile gizlemek @yardımcı olmaz.
•Saldırganların erişebileceği ölümcül hataları ve yürütme zaman aşımı sorunlarını düzeltin; bunlar arasında geri çağırma işlevlerindeki, yükleme veya içe aktarma işlemlerindeki ve temizleme işlemlerindeki hatalar da yer almaktadır.

Yukarıda bağlantısı verilen uyarılar, tüm teknik detayları içermektedir.