Müşteri Paneli

Yardım ve Bilgiler

Duyurular

Kiritik Güvenlik Açığı : DirectAdmin kullanıcıları için PHP2Shell rehberi (CVE-2026-109618 / CVE-2026-109619)
Wednesday, October 21, 2026

Ne oldu?

PHP ekibi 21 Ekim 2026'da iki kritik güvenlik açığını kapatan güncellemeleri yayınladı:

  • CVE-2026-109618: PHP bellek sınırına ulaşıldığında isteği yarıda kesiyor. Bu sırada yarım kalmış veriler sonradan geçerliymiş gibi işleniyor ve bu durum kod çalıştırmaya götürüyor.
  • CVE-2026-109619: Bir isteğe ait iç veri, isteğin belleği serbest bırakıldıktan sonra da PHP sürecinde kalabiliyor. Sonraki istek bu bayat veriyi kullanıyor (use-after-free).

İkisi de CVSS v4.0 9.2 (kritik) puan aldı. Saldırı kimlik doğrulama gerektirmiyor ve sitenin kendi kodu daha çalışmadan, PHP'nin isteği işlediği aşamada gerçekleşiyor. Bu yüzden WordPress veya eklentilerin güncel olması koruma sağlamıyor.

PHP-FPM, Apache mod_php, php-cgi ve LiteSpeed (lsphp) ortamlarının hepsi etkileniyor. PHP ekibine göre en yüksek risk mod_php'de. Açıkların bilgisi yamalardan önce sızdığı için saldırı denemeleri başladı ve toplu saldırılar bekleniyor.

DirectAdmin'in yayınladığı güncelleme

DirectAdmin, 21 Ekim 16:54 TSİ'de current ve stable kanallarına yeni bir sürüm çıkardı:

PHP sürümü Durum
8.5 / 8.4 / 8.3 / 8.2 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35'e yükseltildi
8.1 / 8.0 / 7.4 Yama eklendi; sürüm numarası aynı, CustomBuild'de * ile işaretli
7.3 – 5.6 Yama henüz yok, DirectAdmin hazırlandığını belirtiyor

Adım 1: Güncellemeyi uygulayın

da update
da build versions   # bekleyen güncellemeleri listeler
da build php        # PHP sürümlerini derler

da build versions hâlâ eski sürümü gösteriyorsa birkaç dakika bekleyip tekrar deneyin. Sürüm listesinin güncellenmesi biraz gecikebiliyor.

Adım 2: Doğrulayın

/usr/local/php84/bin/php -v   # kurulu her sürüm için: php82, php83, php85 ...
  • PHP 7.4 için şu yama dosyası varsa ve CustomBuild 7.4 için güncelleme göstermiyorsa sürümünüz güncel:
    /usr/local/directadmin/custombuild/patches/php-7.4/143-php-7.4-cve-2026-109618.patch
  • PHP 8.1 kullanıyorsanız derleme çıktısında hata olup olmadığını kontrol edin. DirectAdmin, yeni yamayla 8.1'in bazı sistemlerde temiz derlenmediğini bildirdi.

Adım 3: PHP 7.3 veya daha eski sürüm kullanıyorsanız

Bu sürümler için henüz yama yok. Mümkün olan en kısa sürede siteleri PHP 8.2 veya üzerine taşıyın. Taşıyana kadar aşağıdaki geçici önlemleri uygulayın. 8.2'nin desteği de 31 Aralık 2026'da bitiyor; uzun vadede 8.3 veya üzerini hedefleyin.

Geçici önlemler (yalnız hemen güncelleyemeyenler için)

Bu ayarlar PHP ekibinin önerileri. Riski azaltır ama tam koruma sağlamaz; kalıcı çözüm güncellemedir.

memory_limit = -1
post_max_size = 8M            ; dosya yükleme gerekiyorsa 32M
upload_max_filesize = 8M      ; post_max_size'tan küçük olmalı
session.upload_progress.enabled = 0
fatal_error_backtraces = 0    ; yalnız PHP 8.5
  • Ayarları sunucu genelindeki php.ini dosyasına ya da PHP-FPM pool'una php_admin_value ile ekleyin. Kullanıcıların .user.ini dosyası veya ini_set() ile verilen ayarlar işe yaramaz.
  • Ayarlardan sonra PHP servislerini yeniden başlatın.
  • memory_limit = -1 tek bir betiğin sunucunun bütün belleğini tüketmesine yol açabilir. Bu ayarı yalnız güncelleme yapılana kadar kullanın.
  • Sunucunuz Cloudflare arkasındaysa Cloudflare'in yayınladığı WAF kuralları ek koruma sağlar. Bunun için sunucunun yalnız Cloudflare IP'lerinden gelen trafiği kabul etmesi gerekir.

Önemli Not: 

  • Bu güncellemeler CloudLinux altyapısındaki alt-php sistemlerini güncellemez. Cloudlinux henüz resmi yama yayınlamadı. Eğer Cloudlinux kullanıyorsanız Cloudlinux için resmi yamayı bekleyin.

Kaynaklar

<< Önceki Sayfa