​Acil Bilgi Güvenliği Bildirimi: PHP, Node.js ve Go

(Minghui.org) Geçtiğimiz hafta içinde PHP, Node.js ve Go çalışma zamanı ortamlarında (runtime) önemli güvenlik açıkları tespit edildi. WordPress gibi popüler içerik yönetim sistemleri de dahil olmak üzere, bu teknolojileri kullanan sunucuların yöneticileri, hizmetlerini olası istismarlara karşı korumak için derhal harekete geçmelidir.

21 Ekim'den bu yana, küresel siber güvenlik kurumları ile PHP ve Node.js'in resmi kanalları; yetkisiz saldırganların uzaktan kod yürütmesine (RCE) veya hizmet reddi (DoS) saldırısı gerçekleştirmesine olanak tanıyan güvenlik açıklarına dair kritik uyarılar yayımladı.

Söz konusu açıklar doğrudan programlama dilinin çalışma zamanı ortamında veya yerleşik kütüphanelerinde bulunduğundan, yalnızca WordPress eklentileri ya da npm paketleri gibi uygulama katmanındaki bileşenleri güncellemek sunucuyu korumak için yeterli olmayacaktır; bizzat çalışma zamanı ortamının (runtime) güncellenmesi gerekmektedir.

Başlıca Teknoloji Yığınlarındaki Güvenlik Açıkları

1) PHP (“PHP2Shell” Açığı)

- Uzaktan kod yürütme (RCE) açıkları: CVE-2026-109618, CVE-2026-109619 (CVSS puanı: 9.2, kritik risk)

- Özet: Bellek yönetimi ve genel durum (global state) işleme süreçlerinde temel kusurlar bulunmaktadır. Bellek yetersizliği (OOM) hatası tetiklendiğinde, bu durum bellek bozulmasına veya aynı işleyici (worker) tarafından daha sonra ele alınan bir istekte eski/geçersiz verilerin kullanılmasına yol açabilir.

Etki kapsamı: Yama uygulanmamış tüm PHP tabanlı web siteleri ve sunucular. Saldırganlar, herhangi bir kimlik bilgisine veya ayrıcalığa sahip olmaksızın saldırı gerçekleştirebilirler.

2) Node.js

Brotli kod çözücüsü (decoder) ve ağ güvenliği ile ilgili açıklar arasında CVE-2026-111497 (Brotli bellek sınırları dışında yazma - "out-of-bounds write") ve çeşitli TLS/DNS kimlik doğrulama açıkları yer almaktadır.

- Özet: Yerleşik Brotli sıkıştırılmış veri çözücüsünde, bellek sınırları dışında yazma hatası bulunmaktadır; ayrıca kimlik bilgisi ve ana bilgisayar adı (hostname) doğrulama süreçlerinin atlatılması riski de mevcuttur.

- Etki kapsamı: Güvenilir olmayan Brotli sıkıştırılmış verilerinin işlendiği durumlar, harici ağ bağlantıları ve proxy sunucusu olarak kullanılan Node.js hizmetleri.

3) Go Dili ve İlgili Çerçeveler (Frameworks)

- HTTP vekilleri (proxy) ve ağ yönetim arayüzleri gibi ilgili ağ protokolleri, standart kütüphaneler ve yaygın açık kaynak çerçeveler için güvenlik yamaları yayımlanmıştır.

- Etki kapsamı: Belirli Go modülü sürümlerini kullanan veya bunlara bağımlı olan bulut yerel (cloud-native) hizmetler.

Sunucu Yöneticileri İçin Acil Eylemler

Geleneksel paket bağımlılığı kontrolleri (package.json veya composer.json taramaları gibi), çalışma zamanındaki (runtime) güvenlik açıklarını tespit edemez. Sunucularda ve/veya konteynerlerde çalışan çalışma zamanı sürümünün kontrol edilmesi gerekir.

Ömür döngüsü sona ermiş (end-of-life) eski çalışma zamanı sürümleri (PHP 8.2 öncesi veya Node.js 20 öncesi gibi) için resmi yamalar yayımlanmayacaktır. Bu eski sürümler üzerinde çalışan uygulamalar ya desteklenen ve yamalanmış sürümlere yükseltilmeli ya da internetten izole edilmelidir.

Kaynakların kısıtlı olduğu durumlarda, sunucu yöneticileri şu adımları sırasıyla izleyebilir:

1) Hızlı Varlık Envanteri (Sürüm Kontrolü)

Her bir sunucuya veya konteynere giriş yapın ve kullanılan çalışma zamanı sürümünün etkilenip etkilenmediğini doğrulayın.

- PHP için, çalışan sürümün yamalanmış sürümden daha eski olup olmadığını kontrol edin (aşağıdaki listeye bakın). Not: Bazı Linux dağıtımları yamaları geriye dönük olarak (backport) uygulayabilir; bu nedenle 8.2'den daha eski sürümler de yamalar almış olabilir. Dağıtımınıza ait resmi duyuruları veya paket günlüklerini (log) kontrol edin.

- Node.js için, etkilenen 22.x, 24.x veya 26.x sürümlerinden birini kullanıp kullanmadığınızı kontrol edin.

2) Derhal Yamalanmış Bir Sürüme Yükseltin

Ortamınızı aşağıda belirtilen yamalanmış sürümlerden birine yükseltin ve bellek kalıntılarını temizlemek için hizmet sürecini (PHP-FPM veya Node uygulaması gibi) yeniden başlatın:

- Yamalanmış PHP sürümleri:

PHP 8.5 serisi: 8.5.12 (veya daha yeni) sürümüne yükseltin

PHP 8.4 serisi: 8.4.27 (veya daha yeni) sürümüne yükseltin

PHP 8.3 serisi: 8.3.36 (veya daha yeni) sürümüne yükseltin

PHP 8.2 serisi: 8.2.35 (veya daha yeni) sürümüne yükseltin

Yamalanmış Node.js sürümleri:

Node.js 22.x: 22.23.4 (veya daha yeni) sürümüne yükseltin

Node.js 24.x: 24.22.1 (veya daha yeni) sürümüne yükseltin

Node.js 26.x: 26.12.1 (veya daha yeni) sürümüne yükseltin

Not: Node.js 20 ve önceki sürümler için destek sona ermiştir. Mümkün olan en kısa sürede desteklenen bir sürüme geçiş yapmalısınız.

3) Konteynerleri ve İmajları Yeniden Oluşturun

Docker veya diğer bulut yerel (cloud-native) konteyner teknolojilerini kullanıyorsanız, yalnızca etiket (tag) değişikliği yeterli değildir; temel çalışma zamanının (runtime) güncellendiğinden emin olmak ve hizmeti yeniden dağıtmak için imajın yeniden oluşturulması gerekir.

Anormal POST trafiğine ve kötü amaçlı sıkıştırılmış paketlere karşı koruma kurallarının etkinleştirilmiş olduğundan emin olmak için ön uçtaki web uygulaması güvenlik duvarınızı (WAF) veya yük dengeleyicinizi (load balancer) kontrol edin.

Yukarıdakiler yalnızca genel bir bilgilendirmedir. Bilgi güvenliğini sağlamak adına, teknik personelin kendi ortamlarına özgü riskleri acilen tespit edip ortadan kaldırması gerekmektedir.

Orijinal Çince makale