PHP'nin 5.4 ve üzeri sürümlerinde, sunucularda uzaktan kod çalıştırılmasına (RCE) olanak tanıyan kritik bir güvenlik açığı tespit edildi. Bu açık, saldırganların kimlik doğrulaması gerektirmeden sunucularda istedikleri kodları çalıştırmasına imkan veriyor.
PHP güvenlik ekibi, bu açığı CVE-2026-109618 ve CVE-2026-109619 olarak tanımlayarak, her iki açığı da 10 üzerinden 9,2 puanla kritik seviyede sınıflandırdı.
Bu güvenlik açığı, WordPress, Drupal, Joomla ve Magento gibi PHP tabanlı platformları kullanan internet sitelerini ve PHP içeren sunucu yazılımlarını etkileyebilir.
Saldırganlar, bu açığı kullanarak hassas verileri sızdırabilir, veri tabanlarına doğrudan erişim sağlayabilir ve sistemler üzerinde tam yetki kurabilir.
PHP güvenlik ekibi, düzeltmeleri içeren güvenlik sürümünü 21 Ekim 2026 tarihinde yayımlamayı planladığını bildirdi.
Web sitesi yöneticilerinin, PHP altyapılarını en güncel sürüme yükseltmeleri veya derhal yamalama imkânı yoksa sitelerini geçici olarak yayından kaldırmaları önerilmektedir.
Bireysel kullanıcılar, etkilenebilecek servislerden gelebilecek parola sıfırlama veya güvenlik bildirimlerine karşı dikkatli olmalı ve hesap güvenliğini artırmalıdır.
