\u00c7o\u011fu \u00fcretim ortam\u0131nda PHP ve Node.js yan yana \u00e7al\u0131\u015f\u0131r: PHP i\u00e7erik y\u00f6netimi, faturalama ya da panel taraf\u0131nda, Node.js ise API, derleme hatt\u0131 ya da ger\u00e7ek zamanl\u0131 servislerde. \u0130ki \u00e7al\u0131\u015fma ortam\u0131 da 2026’da y\u00fcksek \u00f6nem dereceli g\u00fcvenlik s\u00fcr\u00fcmleri yay\u0131mlad\u0131 ve onlar\u0131 bar\u0131nd\u0131ran sunucular\u0131n ayn\u0131 anda iki cephede ilgi g\u00f6rmesi gerekiyor.<\/p>\n
TL;DR<\/p>\n
php -v<\/code> bir sitenin ne \u00e7al\u0131\u015ft\u0131rd\u0131\u011f\u0131n\u0131n kan\u0131t\u0131 de\u011fildir: MultiPHP’yi, i\u015fleyiciyi ve CloudLinux PHP Selector’\u0131 kontrol edin, ard\u0131ndan sitenin i\u00e7inden do\u011frulay\u0131n.<\/li>\n- Node.js tek bir sunucuda konteynerler ve CI imajlar\u0131 dahil birka\u00e7 yerde birden \u00e7al\u0131\u015fabilir ve her kopyan\u0131n ayr\u0131 g\u00fcncellenmesi gerekir.<\/li>\n
- Her d\u00fczeltme ancak FPM havuzlar\u0131, mod_php kullanan Apache ve Node.js s\u00fcre\u00e7leri yeniden ba\u015flat\u0131ld\u0131ktan sonra devreye girer.<\/li>\n<\/ul>\n<\/div>\n
Bu yaz\u0131 her projenin haziran ile eyl\u00fcl aras\u0131nda neleri d\u00fczeltti\u011fini, kulland\u0131\u011f\u0131n\u0131z s\u00fcr\u00fcm hatt\u0131n\u0131n neden tek bir yamadan daha \u00f6nemli oldu\u011funu, bir cPanel sunucusunda bir sitenin ger\u00e7ekte hangi PHP’yi \u00e7al\u0131\u015ft\u0131rd\u0131\u011f\u0131n\u0131 nas\u0131l \u00f6\u011frenece\u011finizi ve sekiz ad\u0131ml\u0131k bir kontrol listesini ele al\u0131yor. 21 Ekim’deki acil PHP2Shell s\u00fcr\u00fcm\u00fcn\u00fcn kendine ait bir yama g\u00fcn\u00fc rehberi<\/a> var.<\/p>\nPHP eyl\u00fcl 2026’da neleri d\u00fczeltti?<\/h2>\n
PHP projesi 24 Eyl\u00fcl 2026’da 8.2.34, 8.3.35, 8.4.26 ve 8.5.11 s\u00fcr\u00fcmlerini yakla\u015f\u0131k bir d\u00fczine CVE’yi kapsayan ortak bir g\u00fcvenlik g\u00fcncellemesi olarak yay\u0131mlad\u0131. Herkese a\u00e7\u0131k bir web sunucusuna en kolay ula\u015fabilecek a\u00e7\u0131k CVE-2026-91765: SOAP eklentisindeki s\u0131n\u0131rs\u0131z \u00f6zyineleme, kimlik do\u011frulamas\u0131 olmayan bir iste\u011fin d\u0131\u015fa a\u00e7\u0131k bir SoapServer u\u00e7 noktas\u0131n\u0131 \u00e7\u00f6kertmesine izin veriyor. CVE-2026-91766 ise uzak API \u00e7a\u011f\u0131ran her uygulamay\u0131 ilgilendiriyor: HTTP stream wrapper ba\u015fka bir sunucuya y\u00f6nlendirmeyi izledi\u011finde, ilk sunucu i\u00e7in verilen kimlik bilgileri de onunla birlikte gidebiliyordu.<\/p>\n
\u0130ki TLS d\u00fczeltmesi, CVE-2026-91769 ve CVE-2026-91767, SAN uyu\u015fmazl\u0131\u011f\u0131ndan sonra ana bilgisayar ad\u0131 do\u011frulamas\u0131n\u0131n sertifikadaki CN alan\u0131na geri d\u00fc\u015fmesini engelliyor ve \u00f6zel haz\u0131rlanm\u0131\u015f joker karakterli adlardaki bir heap ta\u015fmas\u0131n\u0131 kapat\u0131yor. Sunucu taraf\u0131nda, PHP-FPM’i bir IPv6 TCP soketinde \u00e7al\u0131\u015ft\u0131r\u0131yorsan\u0131z \u00f6nce CVE-2026-91768’e bak\u0131n, \u00e7\u00fcnk\u00fc listen.allowed_clients<\/code> adresin yaln\u0131zca bir k\u0131sm\u0131n\u0131 kar\u015f\u0131la\u015ft\u0131r\u0131yordu ve atlat\u0131labiliyordu. Phar ar\u015fivleri de TAR ba\u015fl\u0131\u011f\u0131 ayr\u0131\u015ft\u0131rmas\u0131ndaki bir tamsay\u0131 ta\u015fmas\u0131 olan ve ar\u015five sahte girdi eklenmesine izin veren CVE-2026-6103 i\u00e7in d\u00fczeltme ald\u0131.<\/p>\nNode.js haziran ve temmuz 2026’da neleri d\u00fczeltti?<\/h2>\n
Node.js k\u0131sa aral\u0131kla iki g\u00fcvenlik s\u00fcr\u00fcm\u00fc \u00e7\u0131kard\u0131. Haziran s\u00fcr\u00fcm\u00fc (v22.23.0, v24.17.0, v26.3.1) on iki sorunu kapatt\u0131; aralar\u0131nda, Unicode nokta karakterlerinin tutars\u0131z i\u015flenmesinden kaynaklanan ve joker sertifika derinli\u011fi kontrol\u00fcn\u00fc atlatan bir kimlik do\u011frulama a\u00e7\u0131\u011f\u0131 olan CVE-2026-48618 de var. Temmuz s\u00fcr\u00fcm\u00fc (v22.23.2, v24.18.1, v26.5.1) on bir d\u00fczeltme daha getirdi ve bunlar\u0131n \u00fc\u00e7\u00fc y\u00fcksek \u00f6nem dereceli.<\/p>\n
Temmuzdaki y\u00fcksek \u00f6nem dereceli hatalardan ikisi HTTP\/2 katman\u0131nda: CVE-2026-56846, bekletilen ba\u015fl\u0131k bloklar\u0131n\u0131n maxSessionMemory<\/code> s\u0131n\u0131r\u0131n\u0131 a\u015fmas\u0131na ve uzaktaki bir istemcinin sunucu belle\u011fini t\u00fcketmesine izin veriyor; CVE-2026-56848 ise nghttp2’de bir heap use-after-free hatas\u0131. \u00dc\u00e7\u00fcnc\u00fcs\u00fc CVE-2026-58043, Permission Model’de verilen bir dosya sistemi izninin izin listesi d\u0131\u015f\u0131ndaki yollara uzanmas\u0131na yol a\u00e7\u0131yor. 22, 24 ve 26 s\u00fcr\u00fcm hatlar\u0131 i\u00e7in y\u00fcksek \u00f6nem dereceli d\u00fczeltmeler i\u00e7eren bir s\u00fcr\u00fcm daha 21 Ekim 2026’da geldi.<\/p>\nS\u00fcr\u00fcm hatt\u0131 neden tek bir yamadan daha b\u00fcy\u00fck bir risk?<\/h2>\n
Bir yama ancak s\u00fcr\u00fcm hatt\u0131n\u0131z onu h\u00e2l\u00e2 al\u0131yorsa i\u015fe yarar. PHP 8.1’in g\u00fcvenlik deste\u011fi 2025 sonunda bitti, Node.js 20 de 30 Nisan 2026’da \u00f6mr\u00fcn\u00fc tamamlad\u0131; ikisinden birini h\u00e2l\u00e2 \u00e7al\u0131\u015ft\u0131ran sunucular yukar\u0131daki d\u00fczeltmelerin hi\u00e7birini almad\u0131. PHP 8.2 de 31 Aral\u0131k 2026’da ayn\u0131 noktaya geliyor, bu y\u00fczden bug\u00fcn planlanan bir y\u00fckseltme i\u00e7in k\u00f6t\u00fc bir hedef.<\/p>\n