PHP Güvenlik Güncellemesi: Önce Yama, Sonra Sırlar ve Erişim Denetimi

PHP, 21 Ekim 2026 tarihinde kimlik doğrulamadan uzaktan kod çalıştırmaya izin verebilen kritik CVE-2026-109618 ve CVE-2026-109619 açıkları için 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. Resmî duyuru, PHP-FPM ve Apache mod_php dahil web isteklerini işleyen kurulumları risk altında sayıyor. Tam çözüm güncellemedir; geçici önlemler eşdeğer değildir.

Açığı bulunan kurulum ele geçirilme kanıtı değildir. Yamayı, incelemeyi ve kimlik bilgisi kurtarmayı bağlantılı görevler olarak ele alın; ortamınıza ve kanıtlara göre karar verin.

İstekleri gerçekten hangi ortamın işlediğini doğrulayın

PHP çalıştıran açık web sitelerini, iç hizmetleri, konteynerleri ve barındırma hesaplarını listeleyin. Web isteklerini işleyen çalışma ortamının sürümünü ve yama durumunu doğrulayın; komut satırı sürümü başka kurulumu gösterebilir.

Yönetilen barındırmada operatörden uygulanan paketi, etkilenen hizmeti ve yeniden başlatma veya dağıtımı doğrulamasını isteyin. Dağıtım sağlayıcıları düzeltmeleri eski sürümlere taşıyabilir; yalnızca görünen ana sürüm numarasıyla karar vermeyin, yama teyidi alın. Kapsamı operatörle birlikte PHP ekibinin duyurularından inceleyin. Sunucu yapılandırmasını açığa çıkaran tanılama sayfası yayımlamayın.

Açıklığı sınırlandırın ve güvenilir ortamı geri kurun

Güncellemeyi barındırma veya operasyon ekibiyle hızla koordine edin. Olay değerlendirmesi gerektiriyorsa ilgili kanıtları korurken dışa açıklığı sınırlayın veya sistemleri yalıtın. Sırf günlük toplamayı bitirmek için acil sınırlamayı geciktirmeyin.

Açık kalınan dönemi, web ve sistem günlüklerini, beklenmedik dosya veya süreçleri ve ilgili sağlayıcıların denetim olaylarını gözden geçirin. Alarm olmaması veya günlüklerin normal görünmesi makinenin etkilenmediğini kanıtlamaz.

Ele geçirilme doğrulanmış ya da makul biçimde şüpheleniliyorsa olay sürecinizi izleyerek güvenilir kaynaktan yeniden kurun veya geri yükleyin. Yama saldırganın kalıcılığını kaldırmaz. Güvenilmeyen makine ya da cihaz üzerinde yeni sırlar üretmeyin, almayın veya kurmayın.

Döndürmeden önce kimlik bilgilerini değerlendirin

Etkilenen sürecin erişebildiği uygulama ayarları, ortam değişkenleri, dağıtım belirteçleri, veritabanı kimlik bilgileri ve API anahtarlarını listeleyin. Yetkilerini, kapsamını ve açığa çıkma ihtimalini belirleyin. Duyuru tek başına kurumun tüm kimlik bilgilerinin sızdığını göstermez.

Açığa çıkmış olabilecek bilgiler için güvenilir yönetici cihazından, veren sağlayıcıda değiştirme ve iptali koordine edin. Yeni değerleri güvenilir yeniden kurulan ortama yükleyip meşru entegrasyonları doğrulayın. Sıralamayı aktif kötüye kullanım, sağlayıcı özellikleri ve bağımlılıklara göre seçin. Kesintisiz hizmet sözü vermeyin veya kolaylık için açık anahtarı süresiz etkin bırakmayın.

Gerektiğinde oturumları ve kurtarma erişimini inceleyin, her değişikliğin sorumlusunu kaydedin. Ham sırları olay kaydına ya da günlüğe koymayın. OWASP

İş bitince acil erişimi kapatın

Müdahale edenlere ayrı, dar yetkili ve bitiş zamanı kararlaştırılmış hesaplar verin. Kurtarma sonrası geçici rolleri, oturumları, dağıtım erişimini ve teslim bağlantılarını inceleyin. Artık gerekmeyen erişimi kaldırın ve yalnızca takvim hatırlatıcısına güvenmeden ilgili hizmette sonucu doğrulayın.

Üç farklı denetimi ayırın

Denetim	Neyi değiştirir	Neyi yapmaz
Teslim bağlantısının süresinin dolması	O bağlantıdan sonraki erişim	Sağlayıcı kimlik bilgisini iptal etmez
Sağlayıcı anahtarının iptali	Sağlayıcının anahtarı kabul edip etmediği	Kopyaları silmez, ele geçirilmiş makineyi onarmaz
Mesaj veya not silme	O sistemde öğenin kullanılabilirliği	İndirmeleri, ekran görüntülerini veya metni geri almaz

Geçici teslimi güven geri geldikten sonra yapın

Süreciniz izin veriyorsa güvenilir sistemden parola korumalı not oluşturun ve doğrulanmış alıcıya gereken en az bilgiyi iletin. Parolayı ayrı gönderin, plan destekliyorsa süre veya erişim sınırlarını kullanın. Cüzdan kurtarma ifadelerini veya özel anahtarları eklemeyin.

LOCK.PUB sınırlı bir teslim aracıdır: PHP'yi yamalayamaz, bulaşmış cihazları onaramaz, sağlayıcı anahtarını iptal edemez veya kopyaları geri alamaz. Sır yöneticisinin, kimlik kontrollerinin veya olay müdahalesinin yerini almaz.

Sık sorulan sorular

PHP güncellemesini kurmak incelemeyi bitirir mi?

Hayır. Açığı düzeltir; kalan inceleme, kurtarma ve kimlik bilgisi adımlarını kanıtlar ve açıklığın kapsamı belirler.

Notun süresi dolunca içindeki API anahtarı kapanır mı?

Hayır. Anahtarı sağlayıcıda iptal edin veya değiştirin. Kopyalanmış kimlik bilgisi onu teslim eden bağlantıdan ayrıdır.

İlgili: açık sınırlarla API anahtarı paylaşma.