PHP Foundation, 21 Ekim 2026 tarihinde PHP’deki iki kritik güvenlik açığını duyurdu.
Kritik Güvenlik Açıkları
PHP Foundation, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen iki güvenlik açığını açıkladı. Bu açıklar, PHP web sunucusu dağıtımlarını etkileyerek, uzaktan kod yürütme (RCE) riskine yol açabilir.
Açıkların Detayları
CVE-2026-109618, bellek taşması (OOM) bozulması yoluyla RCE riski taşırken, CVE-2026-109619 ise eski küresel durumdan kaynaklanan bir RCE riski içermektedir. Her iki açığın da CVSS v4.0 değerlendirmesi 9.2 olarak belirlenmiş olup, kritik olarak sınıflandırılmıştır.
Yamanın Uygulanması
Her iki güvenlik açığı, PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde düzeltilmiştir. PHP web sunucusu kullanan sistemlerin, bu güncellenmiş sürümlere geçiş yapması önerilmektedir.
Zoho ve GoFrugal Ürünleri Üzerindeki Etki
Zoho ürünleri PHP kullanmadığı için bu güvenlik açıklarından etkilenmemektedir. Ancak, bazı kamuya açık içeriklerin PHP web sunucularında barındırılması nedeniyle bu içerikler güncellenmiştir. GoFrugal SAM, PHP web sunucusu kullanmakta ve bu ürün de güncellenmiştir.
Müşteri Verileri Üzerindeki Etki
Zoho ürünlerinin işlevselliği veya müşteri verileri üzerinde herhangi bir etki tespit edilmemiştir. Müşterilerin herhangi bir işlem yapmasına gerek yoktur; ayrıca sistemlerinde herhangi bir istismar kanıtı bulunmamaktadır.
Sürekli Güvenlik İzleme
Zoho, güvenlik tavsiyelerini sürekli izlemekte ve potansiyel güvenlik açıklarını değerlendirmektedir. Müşteri verilerinin güvenliğini sağlamak amacıyla önemli bulguları veya değişiklikleri zamanında bildirecektir.
