21 oktyabr 2026 | PHP | İT təhlükəsizliyi
21 oktyabr 2026-cı ildə PHP təhlükəsizlik komandası hələ dəstəklənən bütün PHP versiyaları üçün yeniləmələr dərc etdi. Onlar PHP2Shell adı ilə tanınmış iki kritik boşluğu bağlayır. BSI bununla bağlı xəbərdarlıq yayımlayıb və təsirə məruz qalan sistemlərin dərhal yamaqlanmasını tələb edir. PHP ilə veb server işlədən hər kəs bu gün hərəkət etməlidir. Bu, „yalnız“ WordPress, Nextcloud və ya Joomla işlədənlərə də aiddir, çünki bu tətbiqlər PHP üzərində işləyir.
Bu yazı nə baş verdiyini, hansı PHP versiyalarının təsirə məruz qaldığını, indi hansı versiyaya ehtiyacınız olduğunu və serverinizin qorunub-qorunmadığını bir neçə dəqiqəyə necə yoxlayacağınızı yekunlaşdırır.
Bu yazının məzmunu
- Nə baş verdi? Zaman ardıcıllığı
- İki PHP boşluğuna ümumi baxış
- Kim təsirə məruz qalıb?
- Bu PHP versiyaları təhlükəsizdir
- Serverinizi belə yoxlayın və yeniləyin
- PHP 8.1 və daha köhnə: rəsmi yeniləmə yoxdur
- Müvəqqəti tədbirlər və „Serveri oflayn etmək?“ sualı
- Tez-tez verilən suallar
- Biricon IT Services dəstəyi
Nə baş verdi? Zaman ardıcıllığı
PHP təhlükəsizlik komandası düzəlişlərin dərcini əvvəlcədən elan etdi ki, hosterlər və administratorlar hazırlaşmağa vaxt tapsınlar. Dərcin özü 21 oktyabr 2026-cı ildə baş verdi. BSI elə həmin gün xəbərdarlığını (versiya 1.1) yayımladı.
- 20 oktyabr 2026: PHP təhlükəsizlik komandasının növbəti gün təhlükəsizlik yeniləmələrinin çıxacağı barədə əvvəlcədən xəbərdarlığı.
- 21 oktyabr 2026, 14:00 UTC (16:00 CEST): PHP 8.5, 8.4, 8.3 və 8.2 üçün yamaqlar dərc olunur.
- 21 oktyabr 2026: BSI „bütün dünyada veb tətbiqlərə təhlükə yaradan kritik boşluqlar“ barədə xəbərdarlıq edir və dərhal yamaqlamağı tövsiyə edir. BSI-nin məlumatlarına görə iri hosting provayderləri qismən serverləri ehtiyat tədbiri olaraq oflayn ediblər.
İki PHP boşluğuna ümumi baxış
Bunlar PHP nüvəsində iki ayrı xətadır: CVE-2026-109618 və CVE-2026-109619. PHP təhlükəsizlik komandasının məlumatlarına görə hər ikisi hücumçunun giriş etmədən serverdə proqram kodu icra edə bilməsinə gətirib çıxara bilər (unauthenticated Remote Code Execution). Boşluqlar CVSS v4.0: 9,2 (kritik) ilə qiymətləndirilir.
| Xüsusiyyət | Mənası |
|---|---|
| Identifikatorlar | CVE-2026-109618 və CVE-2026-109619 |
| Qiymətləndirmə | CVSS v4.0: 9,2 — kritik |
| Təsir | Girişsiz serverdə kodun icrası (Remote Code Execution) |
| Səbəb 1 | PHP emal zamanı əməli yaddaş ala bilmədikdə zədələnmiş yaddaş (Out-of-Memory) |
| Səbəb 2 | Sorğular arasında yaddaşda qalan köhnəlmiş qlobal vəziyyət |
| Xüsusilə təhlükə altında | mod_php ilə Apache |
BSI-nin qiymətləndirməsinə görə dərc zamanı təsdiqlənmiş hücum yox idi, lakin istismar cəhdləri barədə təsdiqlənməmiş işarələr var idi. Belə geniş yayılmış proqram təminatında kritik boşluqlarda təcrübəyə görə hücumçuların düzəlişləri təhlil edib avtomatlaşdırılmış hücumlara hazırlaşacağını gözləmək lazımdır. Yamaqlamaq üçün zaman pəncərəsi buna görə qısadır.
Kim təsirə məruz qalıb?
Prinsipcə PHP-nin necə qoşulmasından asılı olmayaraq PHP işlədən hər server təsirə məruz qalıb: PHP-FPM, Apache-də mod_php, php-cgi, FrankenPHP və ya LiteSpeed. PHP təhlükəsizlik komandasına görə risk ən yüksək mod_php ilə Apache-də olur.
BSI açıq şəkildə PHP üzərində qurulan və buna görə birgə təsirə məruz qala bilən tətbiqləri göstərir:
- Məzmun idarəetmə sistemləri: WordPress, Drupal, TYPO3, Joomla
- Mağaza sistemləri: Magento
- Bulud və fayl saxlama: Nextcloud
- Firewall interfeysləri: pfSense, OPNsense
Bunun üçün tətbiqin özü nasaz olmalı deyil. Boşluq PHP-dədir, buna görə WordPress, Nextcloud & digərlərinin tək yenilənməsi kömək etmir. Serverdəki PHP versiyası yenilənməlidir. pfSense və OPNsense kimi firewall-larda düzəldilmiş PHP versiyası istehsalçının müvafiq firmware yeniləməsi ilə gəlir.
Bu PHP versiyaları təhlükəsizdir
Boşluqlar aşağıdakı versiyalarda aradan qaldırılıb. Bunlardan aşağı olan hər şey həssas sayılır.
| PHP qolu | Minimum tələb olunan | Qeyd |
|---|---|---|
| PHP 8.5 | 8.5.12 | aktual qol |
| PHP 8.4 | 8.4.27 | |
| PHP 8.3 | 8.3.36 | |
| PHP 8.2 | 8.2.35 | Dəstək 31 dekabr 2026-cı ildə bitir |
| PHP 8.1 və daha köhnə | rəsmi yeniləmə yoxdur, bax aşağı | |
Serverinizi belə yoxlayın və yeniləyin
1. Quraşdırılmış PHP versiyasını müəyyən etmək
Serverin komanda sətrində php -v komandası komanda sətri PHP-sinin versiyasını göstərir. Veb server başqa PHP versiyası istifadə edə bilər. Buna görə PHP-FPM-in, yaxud Apache modulunun versiyasını da yoxlayın, məsələn php-fpm8.3 -v ilə və ya phpinfo() çıxaran səhifə vasitəsilə (onu sonra dərhal yenidən silin).
2. Yeniləməni paket idarəetməsi vasitəsilə yükləmək
Debian, Ubuntu, RHEL və qohumlarında düzəldilmiş versiya normal paket idarəetməsi vasitəsilə gəlir, məsələn apt update && apt upgrade və ya dnf upgrade. Sury-PPA və ya Remi-Repository kimi kənar mənbələrdə yeni paketlər adətən tezliklə görünür.
apt changelog php8.3-fpm və ya rpm -q --changelog php | grep CVE-2026-1096 ilə).
3. PHP xidmətini yenidən başlatmaq
Tək paket yeniləməsi kifayət deyil: işləyən PHP prosesləri köhnə kodu yaddaşda saxlayır. PHP-FPM-i (systemctl restart php8.3-fpm), yaxud Apache-ni (systemctl restart apache2) yenidən başladın və sonra proseslərin yeniləmədən sonra başladılıb-başladılmadığını yoxlayın.
4. Hostinq edilən veb saytlar
Shared Hosting-də adətən provayder yeniləyir. Müştəri menyusunda adətən PHP versiyasını hər veb sayt üçün təyin etmək olur. Orada yuxarıda göstərilən təhlükəsiz versiyalardan birini seçin və ya provayderdən yamaqların vəziyyətini soruşun. BSI-nin məlumatlarına görə ayrı-ayrı provayderlər serverləri ehtiyat tədbiri olaraq şəbəkədən çıxarıblar. Saytınız qısa müddətə əlçatan deyilsə, bu səbəb ola bilər.
PHP 8.1 və daha köhnə: rəsmi yeniləmə yoxdur
PHP 8.1 və daha köhnə üçün artıq rəsmi təhlükəsizlik yeniləmələri yoxdur. Belə sistemlərin operatorlarının iki imkanı var:
- Dəstəklənən versiyaya keçmək (tövsiyə olunur). Versiya nə qədər köhnədirsə, tətbiq və əlavələr üçün uyğunlaşdırma xərci bir o qədər böyükdür, buna görə keçid əvvəlcədən sınaqdan keçirilməlidir.
- Düzəlişləri geri köçürmək. PHP təhlükəsizlik komandası düzəlişləri GitHub-da inkişaf qollarında təqdim edib. PHP-ni özü kompilyasiya edən bu dəyişiklikləri köhnə versiyalara götürə bilər. Bu keçid həllidir və ixtisas bilik tələb edir.
PHP 8.2 də yalnız 31 dekabr 2026-cı il-ə qədər dəstəklənir. PHP 8.4 və ya 8.5-ə keçidi buna görə indi planlaşdırın və il dəyişimi üçün təxirə salmayın.
Müvəqqəti tədbirlər və „Serveri oflayn etmək?“ sualı
PHP təhlükəsizlik komandası elanla birlikdə müvəqqəti qoruma tədbirlərini də təsvir etdi. Bunlar riski azaldır, lakin boşluqları tam bağlamır. Onlar yeniləməni əvəz etmir və yalnız yenilənməyə qədər olan vaxtı körpülədirmək üçün nəzərdə tutulub.
Serverin yeniləməyə qədər şəbəkədən çıxarılıb-çıxarılmaması onun əhəmiyyətindən və əlçatanlığından asılıdır. BSI bildirir ki, iri provayderlər bu addımı atıblar. Baş qayda belədir:
- İctimai şəkildə əlçatan server, yeniləmə indi mümkündür: dərhal yamaqlayın, söndürmək lazım deyil.
- İctimai şəkildə əlçatan server, yeniləmə qısa müddətdə mümkün deyil: girişi məhdudlaşdırın (məsələn firewall vasitəsilə yalnız tanınmış ünvanlar üçün) və ya xidməti müvəqqəti söndürün, xüsusilə
mod_phpzamanı. - Yalnız daxili əlçatan server: tezliklə yamaqlayın, təcililik daha azdır.
Tez-tez verilən suallar
WordPress, Joomla və ya Nextcloud-u yeniləməliyəmmi?
Bu boşluğa görə yox. O, tətbiqdə deyil, PHP-dədir. Serverdə PHP versiyasını yeniləyin. Tətbiqin yenilənməsi isə bundan asılı olmayaraq yenə də məqsədəuyğundur.
Kiminsə boşluqdan artıq istifadə edib-etmədiyini necə müəyyən edə bilərəm?
Dəqiq cavab vermək çətindir. Veb qovluqda naməlum PHP faylları, veb-server istifadəçisi altında qeyri-adi proseslər, yeni istifadəçi hesabları və ya cron işləri və qeyri-adi çıxan şəbəkə trafiki diqqət çəkir. Konkret şübhə olduqda sistem forensik baxımdan yoxlanmalı və şübhə qaldıqda yenidən qurulmalıdır.
Web Application Firewall kifayətdirmi?
Firewall tanınmış hücum nümunələrini dayandıra bilər, lakin yeniləmə üçün əvəzedici deyil. Bir neçə qoruma qatının birgə işləməsi haqqında daha çox məlumatı məqaləmizdə oxuya bilərsiniz: Odoo 19-un qorunması: Firewall, 2FA & Web RBL. Əsas prinsiplər hər bir veb tətbiqə aiddir.
Odoo təsirlənirmi?
Xeyr. Odoo Python ilə yazılıb və PHP üzərində işləmir. Yalnız eyni serverdə işləyən PHP tətbiqləri təsirlənə bilər.
Rəsmi məlumatları harada tapa bilərəm?
PHP təhlükəsizlik komandasının elanını bu ünvanda tapa bilərsiniz: php.net saytındakı xəbər arxivləri (20 oktyabr 2026-cı il tarixli qeyd), versiyalar isə bu ünvandadır: php.net/downloads. BSI xəbərdarlığının nömrəsi 2026-297981-1032-dir və bu saytda bsi.bund.de dərc olunub.
Biricon IT Services dəstəyi
Serverinizdə hansı PHP versiyasının işlədiyinə əmin deyilsinizsə və ya yamaqlarda köməyə ehtiyacınız varsa, sizə məmnuniyyətlə dəstək oluruq: bütün PHP sistemlərinin inventarizasiyasında, yeniləmələrin quraşdırılmasında, dəstəklənən PHP versiyasına keçiddə və təhlükəyə məruz qalmanın yoxlanılmasında. IT xidməti təminatçısı kimi kiçik və orta müəssisələr üçün serverlərə, firewall-lara və veb tətbiqlərə xidmət göstəririk.
Vəziyyət: 21 oktyabr 2026. Vəziyyət qısa müddətdə dəyişə bilər; PHP təhlükəsizlik komandasının və BSI-nin nəşrləri həlledicidir.