PHP'de Kritik Açık! CVE-2026-109619 Nedir? Sunucun Risk Altında mı? (RCE 9.2)

PHP'de kritik bir uzaktan kod çalıştırma (RCE) açığı ortaya çıktı: CVE-2026-109619, CVSS 4.0 puanı 9,2. Bu videoda açığın ne olduğunu, hangi PHP sürümlerini etkilediğini, nasıl çalıştığını (use-after-free, sade bir otel odası benzetmesiyle) ve sunucunu korumak için ne yapman gerektiğini anlatıyorum. ⚠️ Hemen yap: php -v ile sürümünü kontrol et. Yamalı sürümler: 8.2.35, 8.3.36, 8.4.27, 8.5.12. Yamayı uyguladıktan sonra tüm PHP işçi süreçlerini (worker) yeniden başlat. 📌 Bölümler 0:00 Giriş: PHP'de kritik açık 0:29 Şiddet: CVSS 9.2 ve uzaktan kod çalıştırma 0:48 Etkilenen PHP sürümleri ve yamalı sürümler 1:19 Açık nasıl çalışıyor? (use-after-free, otel odası benzetmesi) 2:06 Tetikleyici: ölümcül hata ve hafıza dolması 2:37 Hangi kurulumlar etkilenir? (mod_php, PHP-FPM, LSAPI, FrankenPHP) 3:01 Açığı kim buldu? Zaman çizelgesi 3:27 Gerçek dünyada risk ne kadar? 3:45 Ne yapmalı? Dört adımda önlem 4:28 Özet 🔎 Kısa özet • Kayıt: CVE-2026-109619 — "RCE via stale global state" (bayat global durum yoluyla uzaktan kod çalıştırma) • Etkilenen: PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerinden önceki tüm sürümler • Zayıflık türleri: CWE-416 (use-after-free) ve ilgili CWE'ler • Saldırının karmaşıklığı yüksek; aynı işçi sürecin ardışık iki isteği işlemesi gibi koşullar gerekir • Apache mod_php'de doğrulanmış; PHP-FPM ve LSAPI'de koşullu • Tam çözüm: yamalı sürüme geçmek. Geçici önlemler (tam çözüm değildir): session.upload_progress.enabled=0 ve PHP 8.5'te fatal_error_backtraces=0 🔗 Kaynaklar • CVE kaydı: https://www.cve.org/CVERecord?id=CVE-... • PHP güvenlik duyurusu: https://github.com/php/php-src/securi... • Wiz araştırması (PHP2Shell): https://www.wiz.io/blog/php2shell-php... • Siemens bildirimi: https://cert-portal.siemens.com/produ... ℹ️ Notlar • Bu video eğitim ve farkındalık amaçlıdır; saldırı talimatı içermez. • Wiz'in yapay zekâ ve test sonuçlarına dair ifadeleri firmanın kendi iddialarıdır; kayıt tarihine göre bilinen bir sömürü bildirilmemiştir (CISA değerlendirmesi). Bilgiler zamanla değişebilir; güncel durumu resmî kaynaklardan kontrol et. • Anlatım yapay zekâ ile üretilmiş sentetik bir sunucu sesiyle hazırlanmıştır. #PHP #CVE #SiberGüvenlik