Kritik PHP Güvenlik Güncellemesi CVE-2026-109618 ve CVE-2026-109619

Değerli Müşterimiz,

PHP projesinde kimlik doğrulaması gerektirmeyen iki kritik uzaktan kod çalıştırma (RCE) açığı duyurulmuştur. Açıklar CVE-2026-109618 ve CVE-2026-109619 numaralarıyla kayıt altına alınmış olup CVSS v4.0 puanı 9.2’dir. Açıklar, web istekleri işleyen tüm PHP kurulumlarını etkilemektedir.

Güncelleme yapılmadığı takdirde sunucunuzda yetkisiz kod çalıştırılması riski bulunmaktadır. Bu nedenle mümkün olan en kısa sürede güncelleme yapmanız gerekmektedir.

Etkilenen Sistemler

• Plesk
• cPanel & WHM / EasyApache 4
• DirectAdmin
• CloudLinux (alt-php / ea-php)
• LiteSpeed (lsphp)
• Düz (panel dışı) PHP kurulumları

Minimum Güvenli PHP Sürümleri

Upstream PHP projesi tarafından yayımlanan yamalı sürümler:

• PHP 8.5.12 ve üzeri
• PHP 8.4.27 ve üzeri
• PHP 8.3.36 ve üzeri
• PHP 8.2.35 ve üzeri

Önemli: 7.4, 8.0 ve 8.1 sürümlerinde birçok satıcı yamayı sürüm numarasını değiştirmeden uygulamıştır. php -v çıktısındaki sürüm numarası tek başına yeterli değildir. Build tarihine veya paket changelog’una bakınız. Yamalı paketlerde genellikle 21 Ekim 2026 ve sonrası build tarihi görülür.

Sürüm Kontrolü Nasıl Yapılır?

Genel kontrol:

php -v

cPanel / EasyApache:

rpm -q --changelog ea-phpXX-php-cli | head -20

(XX yerine kullandığınız sürümü yazın: 74, 80, 81, 82, 83, 84, 85)

CloudLinux alt-php:

alt-phpXX -v
rpm -q --changelog alt-phpXX | head -20

Plesk:

/opt/plesk/php/X.X/bin/php -v
/usr/local/psa/admin/bin/php -v

DirectAdmin:

php -v
/usr/local/directadmin/custombuild/build versions | grep php

Platformlara Göre Yapılması Gerekenler

Plesk
Hem site PHP sürümlerini hem de Plesk panelinin kendi PHP’sini (sw-engine) güncelleyin.
Resmi bülten

cPanel & WHM
Hem cPanel & WHM panelini hem de EasyApache 4 (ea-php) paketlerini güncelleyin.
Resmi bülten
ea-php güncellemesi için genellikle /scripts/rpmup veya WHM EasyApache arayüzü kullanılır.

CloudLinux
alt-php ve ea-php paketlerini güncelleyin.
Durum sayfası · KB makalesi

DirectAdmin
da update ve ardından da build php komutlarıyla güncelleme yapılır.
Resmi duyuru

LiteSpeed
LiteSpeed web sunucusunu güncellemek tek başına yeterli değildir. Kullanılan lsphp (veya ea-php / alt-php) paketlerini güncellemeniz ve ardından lsphp süreçlerini yeniden başlatmanız gerekir. LiteSpeed tarafında bu CVE’lere özel resmi bir bülten yayımlanmamıştır.

Düz PHP (Panel dışı kurulumlar)
Kullandığınız PHP sürümünü yukarıda belirtilen yamalı sürümlere yükseltin. Kaynaktan derlenmiş kurulumlarda yamalı kaynak kod ile yeniden derleme yapmanız gerekir. PHP 8.1 ve altı için upstream yama yayımlamamıştır; mümkünse 8.2 veya üzerine geçmeniz önerilir.

Destek Politikamız

Servis seviyesi 3 ve üzeri olan müşterilerimiz için destek talebi (ticket) açılması halinde güncelleme işlemi tarafımızca gerçekleştirilecektir.

Servis seviyesi 3’ün altında olan müşterilerimizin güncelleme işlemlerini kendilerinin yapması gerekmektedir. Yukarıdaki talimatlar ve satıcı bağlantıları bu amaçla hazırlanmıştır.

Önemli Uyarılar

• Paylaştığımız bağlantılar ilgili satıcıların kendi duyurularıdır. Daha güncel bilgi için mutlaka satıcıların resmi duyuru ve durum sayfalarını takip ediniz.
• Sürüm numarası değişmeyen yamalar nedeniyle sadece php -v çıktısına güvenmeyiniz.
• Güncelleme sonrası web sunucusu / PHP-FPM / lsphp süreçlerini yeniden başlatmayı unutmayınız.
• PHP 7.4 ve daha eski sürümler için bazı satıcılar sınırlı backport sağlamıştır. Mümkünse desteklenen bir sürüme (8.2+) geçiş yapmanız uzun vadede daha güvenlidir.
• Uyumluluk riski: Siteniz hedef PHP sürümünü desteklemiyorsa güncelleme sonrasında çalışmayı durdurabilir. Güncelleme öncesi mutlaka kontrol ediniz.

Sorularınız için destek talebi açabilirsiniz. Acil güncelleme gerektiren durumlarda yukarıdaki adımları uygulamanızı ve uyumluluk riskini göz önünde bulundurmanızı rica ederiz.