PHP 7.4 ve Güncel Sürümlerde Kritik RCE Açığı (CVE-2026-109618) Nedir? Geçici ve Kalıcı Çözüm Rehberi

Web sitenizin arka planında çalışan PHP altyapısında keşfedilen son yılların en kritik güvenlik açıklarından biri dijital dünyayı hareketlendirdi. Özellikle kimlik doğrulaması gerektirmeyen (unauthenticated) Uzaktan Kod Çalıştırma (RCE) riski barındıran bu açık, güncellemelerin önemini bir kez daha gözler önüne serdi.

Bu yazımızda, sistemlerinizi güvende tutmak için alabileceğiniz geçici önlemleri ve sorunu kökten çözen kalıcı çözüm yollarını detaylıca ele alıyoruz.

Bu Kritik Açık Nedir ve Hangi Sürümleri Etkiliyor?

Yayınlanan güvenlik bültenlerinde, bellek yönetimi ve global durum (stale global state) mekanizmalarındaki zafiyetler nedeniyle sistemlerin dışarıdan müdahaleye açık hale geldiği duyuruldu. Özellikle destek ömrünü tamamlamış (End-of-Life) PHP 7.4 gibi eski sürümler başta olmak üzere, güncel olmayan birçok alt sürüm bu durumdan doğrudan etkileniyor.

Saldırganlar, özellikle dosya yükleme formları ve oturum yönetimi üzerinden bu açığı hedef alarak sunucularda yetkisiz kod çalıştırma girişimi yapabiliyorlar.

1. Geçici Çözüm: Anında Alabileceğiniz Güvenlik Önlemleri

Eğer sunucu altyapınızda henüz tam anlamıyla sürüm güncellemesi yapamadıysanız veya eski sürümde kalmak zorundaysanız, açığın istismar edilmesini zorlaştıracak şu acil adımları izleyebilirsiniz:

• Session Upload Progress Korumasını Kapatın: PHP’nin oturum yükleme takibi mekanizması üzerinden tetiklenen vektörleri kapatmak için php.ini dosyanıza veya Plesk/cPanel panelinizdeki yönerge alanına şu satırı ekleyin:Ini, TOMLsession.upload_progress.enabled = Off
• Medya Klasörlerinde Kod Çalıştırmayı Engelleyin: Kullanıcıların dosya yüklediği dizinlerde (örneğin /uploads/) PHP betiklerinin çalışmasını .htaccess kuralı ile yasaklayın:Apache<FilesMatch "\.(php|php5|phtml|phar|shtml)$"> Order Deny,Allow Deny from all </FilesMatch>
• WAF ve Güvenlik Duvarı Kullanın: Sitenizin önüne Cloudflare gibi güçlü bir WAF katmanı koyarak şüpheli istekleri ve otomatik bot saldırılarını engelleyin.

2. Kalıcı Çözüm: Güvenliği En Üst Seviyeye Çıkarma

Geçici önlemler saldırıları yavaşlatır veya engeller, ancak sisteminizi %100 güvenliğe kavuşturmaz. Gerçek ve kalıcı çözüm için şu adımlar atılmalıdır:

• Desteklenen PHP Sürümlerine Geçiş Yapın: Artık resmi güvenlik yaması almayan PHP 7.4 gibi eski sürümlerden, aktif olarak desteklenen PHP 8.2, 8.3 veya 8.4 gibi güncel sürümlere geçiş yapın. Yazılım altyapınızı bu sürümlere uyumlu hale getirin (refactor edin).
• Sunucu Paketlerini Güncel Tutun: Hosting sağlayıcınızla iletişime geçerek CloudLinux/cPanel veya Plesk sunucu modüllerinin en son güvenlik yamalarıyla güncellendiğinden emin olun.
• Düzenli Güvenlik Taramaları: Yazılımınızda kullandığınız tema, eklenti ve özel scriptlerin güncel sürümlerini takip edin ve zafiyet taramaları gerçekleştirin.

Sonuç

Eski PHP sürümlerinde ortaya çıkan bu tarz kritik açıklar, web sitenizin güvenliği için güncelliğin ne kadar hayati olduğunu göstermektedir. Geçici .htaccess ve php.ini yamaları ile zaman kazanabilir, ancak kalıcı huzur için en kısa sürede güncel PHP sürümlerine geçiş yapmalısınız.