Neler yayımlandı?

CVE-2026-109618 ve CVE-2026-109619 açıkları, önceden kimlik doğrulaması olmadan kod çalıştırılmasına izin verebilir. Ön uyarı her ikisi için CVSS v4.0 puanını 9,2 olarak belirtiyor. Bu kritik sınıflandırma hızlı inceleme gerektirir; ancak hangi müşterinin hangi kurulumuna başarıyla saldırıldığını kanıtlamaz.

PHP projesi düzeltilmiş sürümleri 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 olarak listeliyor. Dağıtımlar tarafından bakımı yapılan paketler, eski sürümlere taşınmış güvenlik düzeltmeleri içerebilir. Görünen temel sürümün daha düşük olması bu nedenle tek başına ne koruma eksikliğini ne de düzeltmenin başarılı olduğunu kanıtlar. Tam paket, sağlayıcının duyurusu ve gerçekten kullanılan çalışma ortamı belirleyicidir.

Duyurular farklı web sunucusu entegrasyonlarını kapsıyor. PHP, Apache ile mod_php kullanımındaki riski vurguluyor; bundan PHP-FPM veya başka çalışma biçimleri için genel bir güvenlik onayı çıkarılamaz. Bileşenler, eklentiler ve ayarlar her ortam için ayrı değerlendirilir. Envanterdeki ürün adı yeterli değildir.

İlk sorumuz: PHP gerçekte nerede çalışıyor?

Mevcut duyuruları sistemler hakkındaki bilgilerimizle karşılaştırdık. Envantere halka açık web siteleri, yönetim arayüzleri, ek uygulamalar ve PHP’yi beraberinde sunan hizmetler dahildir. Öncelik; dışarıdan erişilebilirliğe, hizmetin işlevine ve güncellemeden kimin sorumlu olduğuna bağlıdır. Belirsiz kayıtlar somut bir inceleme görevi alır.

Yüklü paketi etkin web hizmetinden ayırıyoruz. Birden fazla PHP sürümü yan yana bulunabilir. Komut satırı programının başarıyla güncellenmesi bile belirli bir web sunucusu işleminin hangi çalışma ortamını kullandığını göstermez. Bu yüzden değişiklik sonrasında ilgili hizmetler ve etkin ayarları izlenebilir biçimde doğrulanmalıdır. Herkese açık bir tanılama sayfası bunun için kalıcı çözüm değildir.

Envanter daha az dikkat çeken sistemleri de içermelidir. Web yönetimi bir cihazın ikincil işlevi olabilir ve yine de ek saldırı yüzeyi yaratabilir. Burada PHP kullanılıp kullanılmadığı ve düzeltme gerekip gerekmediği teknik inceleme konusudur. Yalnızca web arayüzünün bulunmasından etkilenme sonucu çıkarmıyoruz.

Güncellemek, etkisini doğrulamak ve açık noktaları kaydetmek

Uygulama süreci envanter ve değerlendirmeyle başlar. Ardından mevcut güvenlik güncellemeleri öncelik sırasıyla yüklenir. Kontrol; paket sürümünü, gerekli yeniden başlatmaları, etkin yapılandırmayı ve gerekli uygulama işlevlerini kapsar. Sorumlular hangi hizmetin kontrol edildiğini, nerede sağlayıcı yanıtı, uygun paket veya teknik kabul beklendiğini görebilmelidir.

Özel bir hizmet hemen güncellenemiyorsa önce hangi doğrudan dış erişimin gerçekten gerekli olduğunu inceleriz. Gereksiz internet erişimi geçici olarak kaldırılabilir. Yetkili iç kullanım, uygun biçimde yalıtılmış erişim yollarıyla sürdürülebilir. Bu, etkisi ve işletim sonuçları doğrulanması gereken, bilinçli olarak sınırlı bir önlemdir; alttaki yazılımı kendiliğinden hatasız hâle getirmez.

Bir görev güncellemenin başlatılmasıyla tamamlanmaz. İzlenebilir bir sonuç veya sorumlusu belirlenmiş açık bir nokta gerekir. Erişim kısıtlandığında kalan erişilebilirlik de kontrol edilir. Düzeltme yüklendiğinde gerçekten kullanılan hizmetin doğrulanması izler. Her ikisi de güncel işletim dokümantasyonuna aittir.

Kontrol sonucu yazılımın tedarik kanalını da kapsar. İşletim sisteminin bakımı altındaki kurulumda dağıtımın güvenlik duyurusu, yüklü paketle karşılaştırılır. Ürüne dahil çalışma ortamında ilgili ürün sağlayıcısının bilgisi önemlidir. Bu, yalnızca sürüm numarasının yanlış yorumlanmasını önler. Kanıt yetersizse konu açık kalır ve bir sonraki kontrol adımı belirlenir. Doğrulanabilir dayanağı olmayan yeşil durum yanıltıcı olurdu.

WAF, proxy, güvenlik duvarı ve ayrı ağlar ne sağlar?

WAF, ters proxy, güvenlik duvarı ve VLAN, erişim ve veri yollarını sınırlamak için zaten kullanılan araçlardır. Güvenlik duvarı izinli bağlantıları yönetir, proxy tanımlanmış web erişimlerini bir araya getirir, ayrı ağlar ise izin verilen iletişimin sınırlandırılmasına yardımcı olur. Bunlar değerlidir; ancak PHP işleminin içindeki her açığı gidermez.

Özellikle PHP2Shell, uygulamanın önündeki veya içindeki WAF ile tamamen çözülmüş gibi sunulmamalıdır. PHP projesi tam çözüm olarak güncellemeyi gösterir; geçici kısıtlamalar yalnızca belirli saldırı yollarını kapsar. Bu yüzden katmanları düzeltme durumuyla birlikte değerlendirir, başka bir yolun amaçlanan erişim kısıtlamasını aşıp aşamadığını inceleriz.

Yalıtılmış testler ve yapay zekâ uzman değerlendirmesini destekler

Teknik değerlendirmede kendi yalıtılmış test ortamlarımızı da kullandık. Claude ve OpenAI Codex araştırmayı ve bu ortamların hazırlanmasını destekledi. Belirleyici olan uzman değerlendirmesi ve güvenilir teknik kaynaklardı. Makul görünen bir yapay zekâ yanıtı, kurulu sürümün kanıtının veya etkin bir ayarın kontrolünün yerini tutmaz.

Güncellemeden sonra da gözlem gereklidir. Olağan dışı hatalar, beklenmeyen işlemler veya bağlantılar sistemin normal davranışıyla karşılaştırılır. Yüklü bir düzeltme, daha önce hiçbir şey olmadığını geriye dönük olarak kanıtlamaz. Tek bir olağan dışı günlük kaydı da başarılı saldırının güvenilir kanıtı değildir.

Kamuya açık haberleri bağlamında değerlendirmek

Viyana Üniversitesi’nin merkezi BT hizmetlerindeki kısıtlamalara ilişkin duyurusu, önleyici tedbirlerin ne kadar etkili olabileceğini gösteriyor. Güncellenen duyuru, hizmetlerin çoğunun yeniden kullanılabildiğini bildiriyor. Bu bilgiler durumu anlamaya yardımcı olur; başka bir kuruluşun veya DAXS’ın desteklediği belirli bir ortamın durumunu açıklamaz.

Sağlayıcı duyurusu da ilgili hizmetle eşleşmelidir. Bir sağlayıcı kendi ürünleriyle işlettiği barındırılan portalı ayırabilir. Bir ürüne ilişkin açıklama, herhangi bir üçüncü taraf uygulamasına genişletilemez. Bu nedenle OPNsense, FreePBX, Sophos veya belirli bir ağ geçidinde tam sürüm, dahil bileşenler, sağlayıcı yönergeleri ve gerçek erişim durumu önemlidir.

Hazırlık, yanıtı doğrulanabilir kılar

Kullanışlı envanter, net sorumluluklar ve hazırlanmış güncelleme yolları kritik uyarılara yanıtı kolaylaştırır. Kanıtlanmamış yama oranı veya tüm sistemler için genel bir güvenlik onayı yayımlamıyoruz. İzlenebilir tekil kontroller ve açık vakaların takibi belirleyicidir. Cuma günü yapay zekânın kolayca unutulan cihazları kontrol listesine dahil etmeye nasıl yardımcı olduğunu ele alacağız.