Ne oldu?

PHP ekibi 21 Ekim 2026'da iki kritik güvenlik açığını kapatan güncellemeleri yayınladı:

• CVE-2026-109618: PHP bellek sınırına ulaşıldığında isteği yarıda kesiyor. Bu sırada yarım kalmış veriler sonradan geçerliymiş gibi işleniyor ve bu durum kod çalıştırmaya götürüyor.
• CVE-2026-109619: Bir isteğe ait iç veri, isteğin belleği serbest bırakıldıktan sonra da PHP sürecinde kalabiliyor. Sonraki istek bu bayat veriyi kullanıyor (use-after-free).

İkisi de CVSS v4.0 9.2 (kritik) puan aldı. Saldırı kimlik doğrulama gerektirmiyor ve sitenin kendi kodu daha çalışmadan, PHP'nin isteği işlediği aşamada gerçekleşiyor. Bu yüzden WordPress veya eklentilerin güncel olması koruma sağlamıyor.

PHP-FPM, Apache mod_php, php-cgi ve LiteSpeed (lsphp) ortamlarının hepsi etkileniyor. PHP ekibine göre en yüksek risk mod_php'de. Açıkların bilgisi yamalardan önce sızdığı için saldırı denemeleri başladı ve toplu saldırılar bekleniyor.

DirectAdmin'in yayınladığı güncelleme

DirectAdmin, 21 Ekim 16:54 TSİ'de current ve stable kanallarına yeni bir sürüm çıkardı:

Adım 1: Güncellemeyi uygulayın

da update
da build versions   # bekleyen güncellemeleri listeler
da build php        # PHP sürümlerini derler

da build versions hâlâ eski sürümü gösteriyorsa birkaç dakika bekleyip tekrar deneyin. Sürüm listesinin güncellenmesi biraz gecikebiliyor.

Adım 2: Doğrulayın

/usr/local/php84/bin/php -v   # kurulu her sürüm için: php82, php83, php85 ...

• PHP 7.4 için şu yama dosyası varsa ve CustomBuild 7.4 için güncelleme göstermiyorsa sürümünüz güncel:
  /usr/local/directadmin/custombuild/patches/php-7.4/143-php-7.4-cve-2026-109618.patch
• PHP 8.1 kullanıyorsanız derleme çıktısında hata olup olmadığını kontrol edin. DirectAdmin, yeni yamayla 8.1'in bazı sistemlerde temiz derlenmediğini bildirdi.

Adım 3: PHP 7.3 veya daha eski sürüm kullanıyorsanız

Bu sürümler için henüz yama yok. Mümkün olan en kısa sürede siteleri PHP 8.2 veya üzerine taşıyın. Taşıyana kadar aşağıdaki geçici önlemleri uygulayın. 8.2'nin desteği de 31 Aralık 2026'da bitiyor; uzun vadede 8.3 veya üzerini hedefleyin.

Geçici önlemler (yalnız hemen güncelleyemeyenler için)

Bu ayarlar PHP ekibinin önerileri. Riski azaltır ama tam koruma sağlamaz; kalıcı çözüm güncellemedir.

memory_limit = -1
post_max_size = 8M            ; dosya yükleme gerekiyorsa 32M
upload_max_filesize = 8M      ; post_max_size'tan küçük olmalı
session.upload_progress.enabled = 0
fatal_error_backtraces = 0    ; yalnız PHP 8.5

• Ayarları sunucu genelindeki php.ini dosyasına ya da PHP-FPM pool'una php_admin_value ile ekleyin. Kullanıcıların .user.ini dosyası veya ini_set() ile verilen ayarlar işe yaramaz.
• Ayarlardan sonra PHP servislerini yeniden başlatın.
• memory_limit = -1 tek bir betiğin sunucunun bütün belleğini tüketmesine yol açabilir. Bu ayarı yalnız güncelleme yapılana kadar kullanın.
• Sunucunuz Cloudflare arkasındaysa Cloudflare'in yayınladığı WAF kuralları ek koruma sağlar. Bunun için sunucunun yalnız Cloudflare IP'lerinden gelen trafiği kabul etmesi gerekir.

Önemli Not: 

• Bu güncellemeler CloudLinux altyapısındaki alt-php sistemlerini güncellemez. Cloudlinux henüz resmi yama yayınlamadı. Eğer Cloudlinux kullanıyorsanız Cloudlinux için resmi yamayı bekleyin.

Kaynaklar

• PHP resmî güvenlik duyurusu: https://www.php.net/index.php
• PHP güvenlik bildirimi, CVE-2026-109618: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
• PHP güvenlik bildirimi, CVE-2026-109619: https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
• DirectAdmin duyurusu (forum): https://forum.directadmin.com/threads/critical-php-updates.82726/
• Sansec analizi: https://sansec.io/research/php2shell
• Tenable SSS: https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote