Wiz Research: PHP'de Kritik Uzaktan Kod Çalıştırma Açıkları Bulundu

Wiz Research, internet sitelerinin yüzde 70'ini oluşturan çekirdek PHP motorunda son on yılda yayımlanan sürümleri etkileyen kritik bellek güvenliği ve uzaktan kod çalıştırma açıkları keşfetti. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen açıklar, kimlik doğrulaması gerektirmeyen saldırganların WordPress, Drupal ve Joomla gibi platformlarda uzaktan kod çalıştırmasına zemin hazırlıyor. PHP ekibi, 21 Ekim 2026 tarihinde güvenlik açıklarını kapatan yamaları yayımladı.

Wiz Research tarafından tespit edilen açıklar, PHP'nin istekleri işlerken karşılaştığı ölümcül hataları ve bellek yetersizliği durumlarını ele alış biçimindeki sorunlardan kaynaklanıyor. Bu hatalar, beklenmedik şekilde sona eren bir isteğin ardından bozulmuş bir dahili PHP durumunun kalmasına yol açabiliyor. Sonradan gelen bir istek veya işçi bu eski durumu yeniden kullandığında hafıza ifşası ya da bozulması gerçekleşebiliyor.

CVE-2026-109618 takip numaralı açık, yükleme ilerlemesi seri hale getirme hatası üzerinden uzaktan süreç belleği ifşasına yol açarken; CVE-2026-109619 takip numaralı hata ise hata ayıklama yığını geri izleme sorunları nedeniyle OPcache tür karışıklığına ve paylaşılan PHP durumunun bozulmasına neden oluyor. Bu güvenlik açıklarının sömürülmesi, WordPress, Drupal ve Joomla gibi popüler platformlarda kimlik doğrulaması olmaksızın uzaktan kod çalıştırma imkanı tanıyor.