Ekim 2026 açıkları bir hafta sonra: neler istismar edildi, kim yamaladı ve hâlâ ne açık

20 Ekim 2026 haftası, çoğu çeyreğin toplamından daha fazla güvenlik işi çıkardı: acil bir PHP sürümü, bir Node.js sürümü, dört BIND düzeltmesi, Java için bir Oracle güncellemesi ve uyarısı, ele geçirilmiş bir sertifika otoritesi ve düzeltmeleri çıkmadan kamuya açılan bir dizi Linux çekirdeği raporu. Bir hafta sonra tablo değişti. Bunlardan birinin istismar edildiği artık doğrulandı, birkaç üretici yaması yayımlandı ve birkaç boşluk hâlâ açık. Bu yazı 29 Ekim 2026 itibarıyla durumu açık açık ele alıyor: her birinin ne yaptığı, düzeltmelerin barındırma altyapısının her katmanında nerede olduğu ve hem sunucu hem uygulama tarafında ne yapılması gerektiği.

Her sorun şu anda ne durumda?

PHP2Shell: ne yapıyor ve şu anda ne durumda?

PHP2Shell, PHP’nin istek işleme kodundaki iki bellek güvenliği hatası olan CVE-2026-109618 ve CVE-2026-109619’un adı; ikisi de CVSS v4.0’da 9.2 puan aldı. Kimlik doğrulaması gerektirmeyen bir istek, PHP girdiyi henüz ayrıştırırken, yani herhangi bir uygulama kodu çalışmadan önce bu hataları tetikleyebiliyor; sertleştirilmiş bir WordPress’in ya da katı bir framework’ün koruma sağlamamasının nedeni bu. Tüm web SAPI’leri etkileniyor ve PHP duyurusu en yüksek riski mod_php kullanan Apache’ye veriyor.

Durum 26 Ekim’de değişti: CISA iki CVE’yi de Bilinen İstismar Edilmiş Açıklar kataloğuna ekledi ve ABD federal kurumları için 29 Ekim’i düzeltme son tarihi olarak belirledi. Araştırmacılar, PHP 8.4.26 üzerinde mod_php ile Apache çalıştıran bir tuzak sisteme (honeypot) karşı başarılı istismar bildirdi ve herkese açık istismar kodu dolaşımda. PHP projesi 23 Ekim’de ayrıca oturum yükleme ilerlemesi (session upload progress) özelliğindeki ayrı bir sorun olan CVE-2026-115560 için bilgilendirme amaçlı bir duyuru yayımladı; Ekim sürümleri bu sorunu düzeltmiyor. Hafifletme yöntemi, birçok sunucunun zaten geçici önlem olarak kullandığı ayarın ta kendisi: session.upload_progress.enabled = 0.

PHP2Shell için hangi üretici yamaları yayımlandı?

Barındırma tarafında dağıtım hızlı oldu. cPanel 21 Ekim’de ea-php74 ile ea-php85 arasını düzelten EasyApache 4 25.91 sürümünü yayımladı; buna ek olarak kendi dahili PHP’si için 138.0.18, 136.0.50, 134.0.66 ve 110.0.153 derlemelerinde bir cPanel ve WHM güvenlik güncellemesi çıkardı. CloudLinux aynı akşam eski sürüm numaralarını koruyarak geriye taşınmış ea-php52 ile ea-php85 arası paketleri yayımladı, ardından 23 Ekim’de ea-php84 8.4.27-1 gibi php.net numaralı derlemeleri çıkardı. alt-php paketleri CloudLinux 7, 8 ve 9 için 22 Ekim’de, Ubuntu 22.04 üzerindeki CloudLinux için 21 Ekim’de kararlı depolara ulaştı; CloudLinux 10 bunları TuxCare ELS deposundan alıyor ve CloudLinux 6 doğrulanmamış olarak listeleniyor.

Imunify360, 21 ile 23 Ekim arasında 8.83’ten 8.88’e kadar beş WAF kural seti güncellemesi yayımladı ve 8.84’ten itibaren bu kurallar LiteSpeed üzerinde de engelleme yapıyor. CloudLinux, CVE-2026-109618’in bellek yetersizliği yolunu hiçbir kuralın kapsamadığını açıkça belirtiyor; dolayısıyla kurallar bir düzeltme değil, geçici bir katman. Dağıtımlar arasında Red Hat 21 Ekim’de RHEL 8, 9 ve 10 PHP akışları için errata yayımladı ve AlmaLinux bunları aynı gün aktardı, Debian bookworm ve trixie’yi düzeltti, Ubuntu da desteklenen sürümleri için USN-8948-1’i yayımladı. İstisna RHEL 9’un php:8.4 modülü; bu modül 29 Ekim’de hâlâ duyurusu olmadan etkilenen olarak listeleniyordu.

PHP2Shell için şimdi ne yapmalısınız?

• Sunucu tarafı. Her PHP derlemesini değişiklik günlüğü ya da paket sürümüyle doğrulayın, PHP-FPM’i ve mod_php kullanan her Apache’yi yeniden başlatın ve CVE-2026-115560 nedeniyle session.upload_progress.enabled = 0 ayarını koruyun. php:8.4 kullanan RHEL 9’da yamalı bir akışa geçin ya da Red Hat düzeltme yayımlayana kadar WAF kurallarını yerinde tutun.
• Uygulama tarafı. PHP içeren konteyner imajlarını yeniden derleyin, kuyruk işçilerini ve uzun süre çalışan sunucuları yeniden başlatın ve web kök dizinlerinde Ekim ortasından beri oluşturulmuş, hiçbir dağıtımla açıklanamayan dosyaları kontrol edin.

Yama günü prosedürünün tamamı PHP2Shell yama günü rehberinde yer alıyor.

Node.js: 21 Ekim sürümünün ardından bir şey geldi mi?

21 Ekim sürümü, Brotli çözücüsünde uzaktan kod çalıştırmaya izin verebilen bir sınır dışı yazma hatası olan CVE-2026-111497 dahil on CVE’yi düzeltti. Herhangi bir istismar bildirilmedi. Açıklama sonrasında ortaya çıkan bir kavram kanıtının, bildirildiğine göre yalnızca bilerek zayıflatılmış bir test derlemesinde kod çalıştırmaya ulaştığı belirtiliyor. Aynı Brotli hatası, çözücüyü içinde barındıran başka yazılımları da etkiliyor; Microsoft 25 Ekim’de olağan takvim dışında .NET güncellemeleri yayımladı, RHEL ve AlmaLinux’ta ise sistemdeki brotli kütüphanesi 26 Ekim’de errata aldı.

Node.js 28 Ekim’de iki takip sürümü yayımladı: V8 geri taşımaları ve bir stream düzeltmesi içeren 24.22.2 ile 26 serisinin Lithium adıyla LTS dönemini başlatan 26.13.0. 22.23.4’ün ardından yeni bir 22.x sürümü gelmedi. Docker’ın resmi node imajları 28 Ekim’de yeniden derlendi ve cPanel’in EasyApache 4 25.92 sürümü ea-nodejs22’yi 22.23.4’e taşıdı.

• Sunucu tarafı. cPanel’in ea-nodejs paketleri ve sistemdeki brotli kütüphanesi dahil her Node.js kopyasını güncelleyin, ardından servisleri ve süreç yöneticilerini yeniden başlatın.
• Uygulama tarafı. Mümkün olan yerlerde 24.22.2 ya da 26.13.0’a geçin, imajları 28 Ekim etiketlerinden yeniden derleyin ve ihtiyacınız olmayan Brotli sıkıştırmalı istek gövdelerini kabul etmekten kaçının.

BIND: sunucuların çoğu neden hâlâ bekliyor?

ISC’nin Ekim sürümü BIND 9’daki dört sorunu düzeltti; başı çeken CVE-2026-94300, eşzamanlı GSS-TSIG mesajlarından kaynaklanan, named sürecini çökertebilen ve potansiyel olarak kod çalıştırmaya izin verebilen bir bellek bozulması ve geçici bir çözümü yok. Ana projedeki düzeltme 9.20.30 ya da 9.21.27. ISC aktif bir istismar bildirmedi ve o günden beri de bildirilen olmadı.

Boşluk dağıtımlarda. 29 Ekim’de Red Hat bind, bind9.16 ve bind9.18 paketlerini desteklenen her RHEL sürümünde duyurusu olmadan etkilenen olarak listeliyordu, AlmaLinux’un BIND için bir erratası yoktu ve Ubuntu bind9’u desteklenen tüm sürümlerde savunmasız olarak listeliyordu. Debian trixie’yi düzeltti, ancak bookworm’un 9.18 dalı hâlâ düzeltilmemişti. Red Hat’in önerdiği hafifletme, GSS-TSIG gerekmeyen yerlerde tkey-gssapi-keytab ve tkey-gssapi-credential seçeneklerini kaldırmak ya da 53 numaralı porta erişimi kısıtlamak.

Bir BIND derlemesini ana projedeki sürüm aralıklarıyla karşılaştırın:

• Sunucu tarafı. Çalışan her named sürecini bulun, kullanmadığınız GSS-TSIG seçeneklerini kaldırın, özyinelemeyi (recursion) ve 53 numaralı portu kendi ağlarınızla sınırlayın ve üreticinizin errata duyurularını takip edin.
• Uygulama tarafı. BIND’i geliştirme için ya da yardımcı (sidecar) çözümleyici olarak bir konteyner içinde dağıtıyorsanız, bir dağıtım paketini beklemek yerine 9.20.30 üzerinde yeniden derleyin.

Java ve eMudhra: güven sorunu kapandı mı?

Büyük ölçüde. eMudhra ele geçirilen sekiz ara sertifikanın tamamını 18 Ekim’de iptal etti ve Sectigo çapraz imzalı kopyaların iptalini 19 Ekim’de tamamladı. Mozilla daha da ileri giderek emSign ECC Root CA – G3 kök sertifikasını kaldırdı; Chrome’un kök deposundan aynı kökün kaldırılmasının da 27 Ekim’e kadar tüm cihazlara ulaşması bekleniyordu. G3’e zincirlenen bazı meşru sertifikalar artık doğrulanamıyor ve eMudhra küresel genel TLS işinden çekildiğini duyurdu; bu nedenle sertifikalarını kullanan sitelerin başka bir sertifika otoritesine geçmesi gerekiyor.

Oracle’ın CVE-2026-91403 Güvenlik Uyarısı, düzeltilmiş Java derlemeleri olarak 8u511, 11.0.33, 17.0.21, 21.0.13, 25.0.5 ve 27.0.1’i listeliyor. Eclipse Temurin 17, 21 ve 25’i 22 Ekim’de yayımladı, Amazon Corretto 23 Ekim’de yayımladı ve 26 ile 27 Ekim’de yeniden derledi. Temurin 8 ve 11 derlemeleri 29 Ekim’de henüz çıkmamıştı ve Red Hat OpenJDK düzeltmelerini ertelenmiş olarak listeliyor. İşletim sistemi tarafında AlmaLinux 22 ve 23 Ekim’de kritik ca-certificates errata yayımladı, Debian ve Ubuntu G3 kökünü kaldırdı, certifi de 18 Ekim’den itibaren birkaç sürüm çıkardı.

• Sunucu tarafı. ca-certificates errata güncellemelerini kurun, her JDK’yı güncelleyin ve yeni güven listelerini yüklemeleri için Java ve Node.js servislerini yeniden başlatın.
• Uygulama tarafı. certifi’yi güncelleyin, uyarı listesinden bir Java derlemesine sabitlenin ve kendi sertifikalarınızın hiçbirinin emSign ECC Root CA – G3’e zincirlenmediğini kontrol edin.

Güven deposuyla ilgili arka plan Node.js, BIND ve Java aynı haftada yazısında yer alıyor.

Sızan çekirdek raporları: neler düzeltildi?

20 ve 21 Ekim’de herkese açık e-posta listelerine ulaşan beş Linux çekirdeği raporunun 29 Ekim’de hâlâ CVE numarası yoktu. Paylaşımlı sunucular için en önemlisi olan, ağ kodundaki yerel yetki yükseltme açığının düzeltmesi bir incelemeyle birlikte netdev listesine gönderildi, ancak ana dala (mainline) birleştirildiği doğrulanmadı. Çekirdek içi SMB sunucusuyla (ksmbd) ilgili iki rapor, ksmbd’yi derlemeyen AlmaLinux, CloudLinux ve RHEL çekirdeklerini etkilemiyor.

Üreticiler CVE’yi beklemedi. AlmaLinux 28 Ekim’de 8, 9 ve 10 sürümleri için yamalı çekirdekleri RHEL’den önce üretim depolarına çıkardı. TuxCare’in KernelCare’i EL10 için 23 Ekim’de, EL9 için 26 Ekim’de canlı yama yayımladı; EL8 yayıma hazır. CloudLinux’ta 26 Ekim’de CloudLinux 7 hybrid ve CloudLinux 8 çekirdekleri beta aşamasındaydı, CloudLinux 10 için bir canlı yama vardı ve CloudLinux 9 derlemeleri AlmaLinux’u takip ediyordu. Yayımladığı hafifletme, paylaşımlı bir Linux sunucu için beş çekirdek ayarı yazısında anlattığımız yöntemle aynı: hiçbir şeyin ihtiyaç duymadığı yerlerde user.max_user_namespaces değerini 0 yapmak.

• Sunucu tarafı. Namespace sınırını yerinde tutun, KernelCare otomatik güncellemesinin açık olduğunu doğrulayın, uygulanan yamayı kcarectl --patch-info ile kontrol edin ve yeniden başlatmayı yalnızca canlı yama uygulanamayan çekirdekler için planlayın.
• Uygulama tarafı. Kullanıcı namespace’lerine ihtiyaç duyan konteyner sunucuları, yapılandırma hafifletmesini kullanamadıkları için yeni çekirdeği ya da canlı yamayı ilk alanlar olmalı.

Peki ya cPanel’in kendisi?

21 Ekim’deki PHP güvenlik güncellemesi dışında cPanel Ekim ayında herhangi bir Targeted Security Release yayımlamadı; en sonuncusu 29 Eylül’deydi. EasyApache 4 ay içinde altı sürüm çıkardı; bunlar arasında Apache 2.4.69 ve bir dizi güvenlik düzeltmesi içeren 2 Ekim tarihli 25.88 de var. Dolayısıyla ay boyunca güncellemeleri atlayan sunucularda eksik olan yalnızca PHP düzeltmesi değil.

Altyapınızın hâlâ hangi düzeltmelere ihtiyacı var?

Sunucunuzda çalışanları işaretleyin, ona ait açık maddeleri görün:

Sahadan bir not: bir hafta bizim sunucularımızda nasıl geçti

CloudLinux 8 çalıştıran cPanel sunucularımızda geriye taşınmış ea-php paketleri 21 Ekim öğleden sonra otomatik olarak kuruldu ve CloudLinux 23 Ekim’de php.net numaralı derlemeleri yayımlamış olmasına rağmen, günler sonra kontrol ettiğimizde hâlâ geriye taşınmış derlemelerdi. İkisi de yamalı; bunu kanıtlayan değişiklik günlüğü. Canlı yama durumu, komut satırı özetinden değil KernelCare yapılandırmasından kontrol ediliyor ve 23 Ekim’de tüm filoya uyguladığımız namespace sınırı, EL8 canlı yaması gelene kadar çekirdek boşluğunu kapatıyor. Hafta boyunca hiçbir şey yeniden başlatma gerektirmedi.

Kısacası

Açıklamadan bir hafta sonra iş, yama yapmaktan kalan boşlukları kapatmaya kaydı. PHP2Shell artık istismar edilen bir açık ve hâlâ yamasız bir derleme çalıştıran her sunucu acil olarak ele alınmalı. BIND ve çekirdek, hâlâ gelmekte olan dağıtım üreticisi paketlerine ve canlı yamalara bağlı; bu yüzden orada yapılandırma hafifletmeleri daha önemli. eMudhra değişiklikleri de başka bir sertifika otoritesine geçmemiş siteler için sertifika hataları olarak karşımıza çıkmaya devam edecek.

SSS: Ekim 2026 açıkları bir hafta sonra

PHP2Shell Ekim 2026’da gerçek ortamda aktif olarak istismar ediliyor mu?

Evet. CISA, 26 Ekim 2026’da CVE-2026-109618 ve CVE-2026-109619’u Bilinen İstismar Edilmiş Açıklar kataloğuna ekledi ve araştırmacılar Apache mod_php kurulumuna karşı istismar bildirdi. Yamalanmamış her PHP derlemesini acil olarak ele alın.

CVE-2026-115560 nedir ve PHP2Shell sürümleriyle bu sorun da düzeltildi mi?

23 Ekim’de duyurulan ayrı bir oturum yükleme ilerlemesi sorunu ve 8.2.35, 8.3.36, 8.4.27 ya da 8.5.12 ile düzeltilmiyor. Bir sonraki olağan PHP sürümüne kadar php.ini dosyasında ya da FPM havuzunda session.upload_progress.enabled = 0 ayarını koruyun.

Hangi CloudLinux sürümlerinde PHP2Shell için yamalı alt-php paketleri var?

CloudLinux 7, 8 ve 9’da 22 Ekim’den, Ubuntu 22.04 üzerindeki CloudLinux’ta 21 Ekim’den beri kararlı depoda bulunuyor. CloudLinux 10 TuxCare ELS deposunu kullanıyor ve CloudLinux 6 doğrulanmamış olarak listeleniyor.

cPanel ea-php geri taşıması mı php.net sürümü mü: hangi derlemenin yamalı olduğunu nasıl anlarsınız?

Geriye taşınmış derlemeler eski sürüm numarasını korur, örneğin ea-php84 8.4.26-2; sonraki derlemeler ise 8.4.27-1 gibi php.net numaralarını kullanır. İkisi de yamalı; php -v çıktısına güvenmek yerine paket değişiklik günlüğünde CVE numaralarını kontrol edin.

Imunify360 WAF kuralları yamasız bir sunucuyu PHP2Shell’e karşı korumaya yeterli mi?

Hayır. 8.83’ten 8.88’e kadar olan kural setleri bilinen istismar araçlarını ve kalıplarını engelliyor, ancak CloudLinux CVE-2026-109618’in bellek yetersizliği yolunu hiçbir kuralın kapsamadığını belirtiyor. Bunlar yama yaparken kullanılan geçici bir katman.

RHEL, AlmaLinux ve Ubuntu Ekim 2026 BIND düzeltmelerini ne zaman yayımlayacak?

29 Ekim 2026’ya kadar bir tarih açıklanmadı; üçü de bind paketlerini etkilenen ya da savunmasız olarak listeliyordu. Yayımlanana kadar kullanılmayan GSS-TSIG seçeneklerini kaldırın, özyinelemeyi ve 53 numaralı portu güvenilir ağlarla sınırlayın.

Node.js 24.22.2 mi 24.22.1 mi: sunucularda hangi sürüm çalıştırılmalı?

24.22.2’yi çalıştırın. 28 Ekim’de, güvenlik düzeltmelerini taşıyan 24.22.1’in üzerine V8 geri taşımaları ve bir stream düzeltmesiyle yayımlandı. İkisi de Ekim CVE düzeltmelerini içeriyor; daha yeni derleme daha iyi bir başlangıç noktası.

eMudhra değişikliklerinden sonra bazı web siteleri neden sertifika hatası gösteriyor?

Çünkü Mozilla ve Chrome emSign ECC Root CA – G3 kökünü kaldırdı; bu nedenle istemciler güncellendikçe bu köke zincirlenen sertifikalar doğrulanamıyor. eMudhra sertifikası kullanan sitelerin başka bir sertifika otoritesinden yeni sertifika alması gerekiyor.

Sızan Ekim 2026 Linux çekirdeği raporlarına artık CVE numarası atandı mı?

29 Ekim 2026’ya kadar CVE numarası atanmamıştı. Üreticiler bunları ZDI rapor numaralarıyla takip ediyor; AlmaLinux, TuxCare ve CloudLinux bir CVE beklemeden düzeltmeleri yayımladı ya da hazırladı.

KernelCare kullanan sunucuların sızan çekirdek hatası düzeltmeleri için yeniden başlatılması gerekiyor mu?

Canlı yamanın bulunduğu yerlerde hayır: EL10 ve EL9 canlı yama aldı, EL8 ise yayıma hazırdı. kcarectl --patch-info ile doğrulayın, otomatik güncellemeyi açık tutun ve yalnızca canlı yama uygulanamayan çekirdekler için yeniden başlatın.

Kaynaklar

• Bilinen İstismar Edilmiş Açıklar Kataloğu, CISA
• PHP haber arşivi 2026, php.net
• PHP CVE-2026-109618 ve CVE-2026-109619 durumu, CloudLinux
• Sürüm notları, cPanel
• Ekim 2026 güvenlik sürümleri, nodejs.org
• CVE-2026-94300, ISC
• CVE-2026-94300, Red Hat
• Kullanıcıları ele geçirilmiş eMudhra ara sertifikalarından korumak, Google
• ZDI-CAN-33367 çekirdek güncellemesi, AlmaLinux
• ZDI çekirdek raporları ve KernelCare durumu, TuxCare