PHP 5.0 ile 8.5 arasındaki tüm sürümleri etkileyen kritik bir kimlik doğrulamasız Uzaktan Kod Çalıştırma (RCE) zafiyeti tespit edildi. Saldırganlar web üzerinden tek bir istekle sunucu kabuğuna (nobody/www-data) erişebiliyor. cPanel ve EasyApache4 acil yamaları dağıttı; sunucularda /scripts/rpmup çalıştırarak paketleri doğrulamak ve servisleri yeniden başlatmak gerekiyor.

Dün gece PHP tarafında ortalığı ayağa kaldıran iki kritik zafiyet düştü: CVE-2026-109618 ve CVE-2026-109619.

Mesele basit ama tehlikeli: PHP 5.0'dan başlayıp 8.5'e kadar neredeyse piyasadaki tüm sürümleri kapsayan bir RCE (Remote Code Execution) durumu var. Saldırganın sunucuda hesabı veya şifresi olması gerekmiyor; dışarıdan yolladığı tek bir istekle makinede rastgele komut çalıştırabiliyor.

Özellikle cPanel/WHM ve paylaşımlı hosting yönetiyorsan ertelemeden makineleri patchlemek şart.

Neden Bu Kadar Tehlikeli?

Hata doğrudan PHP'nin temel istek işleme (core request processing) mantığında patlıyor. Yani web katmanında kurduğun WAF veya input filtreleri yorumlayıcı seviyesindeki bu açığı her zaman yakalayamıyor.

Saldırgan çalışan exploit'i gönderdiğinde: * Web sunucusu kullanıcısı (`nobody`, `www-data` veya `apache`) üzerinden sunucuda direkt shell alıyor. * İzolasyonu düzgün yapılmamış paylaşımlı sunucularda basit bir LPE (Local Privilege Escalation) ile içeride root olmak an meselesi. * Arkasından veritabanı dump alma, sisteme backdoor bırakma ve yerel ağda yatayda ilerleme zaten peşinden geliyor.

cPanel/WHM ve EasyApache4 acil güvenlik paketlerini repolara bastı.

Hangi Sürümler Etkilendi, Hangileri Temiz?

Sunucularında EasyApache4 / cPanel koşuyorsa paketleri hemen kontrol etmen lazım:

| PHP Sürümü | Patlak Versiyon | Yamalanan Güvenli Sürüm | | :--- | :--- | :--- | | **PHP 7.4** | `<= 7.4.33-18` | `ea-php74-7.4.33-19` | | **PHP 8.0** | `<= 8.0.30-11` | `ea-php80-8.0.30-12` | | **PHP 8.1** | `<= 8.1.34-4` | `ea-php81-8.1.34-5` | | **PHP 8.2** | `<= 8.2.34` | `ea-php82-8.2.35` | | **PHP 8.3** | `<= 8.3.35` | `ea-php83-8.3.36` | | **PHP 8.4** | `<= 8.4.26` | `ea-php84-8.4.27` | | **PHP 8.5** | `<= 8.5.11` | `ea-php85-8.5.12` |

Terminalden Hızlı Müdahale (cPanel / CentOS / oAlmaLinux)

Otomatik cron güncellemelerini beklemeden doğrudan SSH basıp paketleri güncelle:

```bash

1. Depo önbelleğini sıfırla ve yeni paket listesini çek

yum clean all && yum makecache

2. EasyApache ve RPM güncellemelerini çalıştır

/scripts/rpmup

3. Yüklü paketin yamalandığını doğrula (Örn: PHP 8.2)

rpm -qa | grep ea-php82

Çıktıda 8.2.35 veya üzeri bir versiyon görüyorsan yama oturmuştur. Eski thread'lerin bellekte kalmaması için servisleri de restart et:

/scripts/restartsrv_apache

/scripts/restartsrv_apache_php_fpm

Buradan Çıkarılacak Mimari Ders

Monolitik sistemlerde web sunucusunu doğrudan ana işletim sistemine bağladığın sürece böyle her 0-day krizinde tüm makineyi riske atarsın.

Konteyner Şart: Web uygulamalarını root yetkisi olmayan, salt okunur (read-only) dosya sistemine sahip minimal Docker konteynerlerinde koşturmak gerekir. İçeride curl, wget, nc gibi araçlar bile olmamalı ki shell alan saldırgan sistemde kımıldayamasın.

Ayrık Mimari: Dışa bakan yüzleri Next.js gibi headless/edge altyapılara taşıyıp, arkadaki API'leri Cloudflare Tunnel arkasında izole etmek saldırı yüzeyini minimuma indirir. Dışarıdan gelen trafik doğrudan host makineye değmemeli.

Kritik PHP RCE Açığı (CVE-2026-109618 &amp; CVE-2026-109619): cPanel ve Sunucuları Nasıl Koruruz?