Merhaba Webkolog takipçileri, bugün sizlere son dönemde teknoloji kulislerinde sıkça dile getirilen ve yine bir tartışma fitilini ateşleyen bir konudan bahsetmek istiyorum. Yazılım dünyasında ne zaman popüler bir teknoloji veya dil hakkında bir güvenlik açığı rapor edilse, hemen klasikleşen o karamsar senaryolar, hani şu "Artık bu teknoloji bitti, devri kapandı" nidaları havada uçuşmaya başlar. Son günlerde PHP de benzer bir hedef tahtasına oturtuldu. Gelin, bu iddiaların ne kadar gerçekçi olduğuna ve madalyonun diğer yüzünde nelerin olduğuna yakından bakalım.

PHP

PHP Hedef Tahtasında: Ortada Ne Var?

Bildiğiniz üzere, son dönemde PHP ekosisteminde adı geçen CVE-2026-109618, CVE-2026-109619 ve CVE-2026-115560 gibi bazı kritik açıkların duyurulmasıyla birlikte dil yine yoğun bir eleştiri okuna maruz kaldı. Her yıl olduğu gibi yine "PHP artık eskide kaldı, modern web projeleri için riskli" gibi ezbere söylemler yeniden ısıtılıp önümüze getirildi.

İsterseniz önce bu zafiyetlerin teknik arka planına kısaca göz atalım:

  • CVE-2026-109618 (Bellek Yönetimi / OOM Hatası): PHP, bellek aşımı (Out-of-Memory - OOM) durumlarında mevcut bağlamdan çıkabilmek için longjmp() mekanizmasını kullanır. Ancak belirli senaryolarda istek belleği tam olarak sıfırlanmadan veya güvenli şekilde başlatılmadan bırakılabiliyor. Bu durum, sonrasındaki temizlik süreçlerinin geçersiz belleği okumasına ve teorik olarak uzaktan kod yürütülmesine (RCE) zemin hazırlayabiliyor.
  • CVE-2026-109619 (Global Durum Yönetimi / Stale Global State): PHP'nin geçici olarak istek belleğine işaret eden global durumları bulunur. İstek sonrasında bu yapıların düzgün sıfırlanmadığı veya serbest bırakıldıktan sonra tekrar çağrıldığı bazı istisnai durumlarda, sonraki istekler henüz temizlenmemiş atık verileri okuyarak açık oluşturabiliyor.
  • CVE-2026-115560: İlk kritik açıkların ardından yayımlanan ve ek tedbirler gerektiren bir diğer RCE riski taşıyan zafiyet olarak bültenlerde yerini aldı.

Geliştiriciler olarak bu tür açıkların ciddiyetini asla göz ardı edemeyiz. Ancak meseleyi sadece PHP özelinde ele almak ve dili doğrudan suçlamak ne kadar doğru? İşte asıl sormamız gereken soru budur.

Sadece PHP mi Hedefte? Diğer Teknolojilerin Durumu

Gerçek şu ki, yazılım dünyasında sıfır hatayla çalışan kusursuz bir ekosistem yoktur. Aynı dönemde diğer popüler altyapılarda ve platformlarda da son derece kritik güvenlik açıkları rapor edildi. Bakalım tablo bize ne söylüyor:

  • Node.js: Yüksek (HIGH) seviyeli CVE-2026-111497, CVE-2026-105482, CVE-2026-105483 ve CVE-2026-106069 gibi zafiyetlerle gündeme geldi.
  • NGINX: Kritik (CRITICAL) seviyede CVE-2026-15176, CVE-2026-93479 ve CVE-2026-97205 açıkla boğuştu.
  • GitLab: Kritik (CRITICAL) seviyedeki CVE-2026-110264 ve CVE-2026-97229 bültenlerde yer aldı.
  • Java: Kritik (CRITICAL) seviyeli CVE-2026-91403 açığıyla karşılaştı.
  • Next.js: CVE-2026-96889 ve GHSA-673q-mjm6-r5xr gibi Kritik, GHSA-p3m5-59mp-jv5r gibi ise Yüksek seviyeli zafiyetlerle adından söz ettirdi.

Görüldüğü üzere, kullanılan altyapı ne olursa olsun, modern yazılım ekosisteminin karmaşıklığı nedeniyle benzer güvenlik riskleri her zaman kaçınılmazdır. Önemli olan bu açıkların çıkması değil, arkasındaki topluluğun ve geliştiricilerin bu sorunlara ne kadar hızlı reaksiyon gösterdiğidir.

Çözüm Ne? Hızlı Reaksiyon ve Güncellemeler

PHP çekirdek geliştiricileri, bu güvenlik bildirimlerinin ardından vakit kaybetmeden aksiyon aldı ve 21 Ekim 2026 tarihinde acil güvenlik sürümlerini yayımladı. PHP 5.4'ten PHP 8.5.11'e kadar olan geniş bir aralığı etkileyen bu duruma karşı sistemlerin derhal güncellenmesi gerekiyor.

Eğer projelerinizde PHP kullanıyorsanız, güvenliğiniz için aşağıdaki sürümlere acilen geçiş yapmalısınız:


# Tavsiye edilen güncel PHP sürümleri:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35

Unutmamak gerekir ki yazılım dünyasında altın bir kural vardır: Güvenli yazılım yoktur, henüz açığı bulunmamış yazılım vardır.

Sisteminizi güncel tuttuğunuz, modern güvenlik standartlarına uyduğunuz ve kod kalitenizi yüksek tuttuğunuz sürece hiçbir teknoloji "eski" veya "güvensiz" değildir. Teknoloji ekosistemini yakından takip etmeye, kendi projelerimi geliştirmeye ve öğrendiklerimi burada paylaşmaya devam edeceğim.

Hepinize sağlıklı, mutlu ve huzurlu günler dilerim!

Webkolog'u takipte kalın!