21 oktyabr 2026 | PHP | İT təhlükəsizliyi
21 oktyabr 2026-cı ildə PHP təhlükəsizlik komandası hələ də dəstəklənən bütün PHP versiyaları üçün yeniləmələr yayımlayıb. Bu yeniləmələr PHP2Shell adı ilə tanınan iki kritik təhlükəsizlik boşluğunu aradan qaldırır. BSI bununla bağlı xəbərdarlıq yayımlayıb və təsirlənən sistemlərə dərhal təhlükəsizlik düzəlişlərinin tətbiq edilməsini tələb edir. PHP ilə işləyən veb-server idarə edənlər elə bu gün tədbir görməlidirlər. Bu, “sadəcə” WordPress, Nextcloud və ya Joomla istifadə edənlərə də aiddir, çünki bu tətbiqlər PHP əsasında işləyir.
Bu yazıda nə baş verdiyi, hansı PHP versiyalarının təsirləndiyi, indi hansı versiyaya ehtiyacınız olduğu və serverinizin təhlükəsiz olub-olmadığını bir neçə dəqiqəyə necə yoxlaya biləcəyiniz barədə qısa məlumat verilir.
Bu yazının məzmunu
- Nə baş verib? Hadisələrin xronologiyası
- PHP-dəki iki təhlükəsizlik boşluğuna ümumi baxış
- Kimlər təsirlənir?
- Bu PHP versiyaları təhlükəsizdir
- Serverinizi necə yoxlamalı və yeniləməlisiniz
- PHP 8.1 və daha köhnə versiyalar: rəsmi yeniləmə yoxdur
- Müvəqqəti tədbirlər və “Serveri şəbəkədən ayırmalıyam?” sualı
- Tez-tez verilən suallar
- Biricon IT Services tərəfindən dəstək
Nə baş verib? Hadisələrin xronologiyası
PHP təhlükəsizlik komandası hostinq təminatçılarının və administratorların hazırlaşmağa vaxtı olsun deyə düzəlişlərin yayımlanacağını əvvəlcədən elan etmişdi. Düzəlişlər 21 oktyabr 2026-cı ildə yayımlanıb. BSI də elə həmin gün xəbərdarlığını (versiya 1.1) dərc edib.
- 20 oktyabr 2026: PHP təhlükəsizlik komandası ertəsi gün təhlükəsizlik yeniləmələrinin yayımlanacağı barədə ilkin xəbərdarlıq edir.
- 21 oktyabr 2026, saat 14:00 UTC (Mərkəzi Avropa yay vaxtı ilə saat 16:00): PHP 8.5, 8.4, 8.3 və 8.2 üçün düzəlişlər yayımlanır.
- 21 oktyabr 2026: BSI “bütün dünyada veb-tətbiqləri təhdid edən kritik təhlükəsizlik boşluqları” barədə xəbərdarlıq edir və düzəlişləri dərhal tətbiq etməyi tövsiyə edir. BSI-nin məlumatına görə, bəzi böyük hostinq təminatçıları ehtiyat tədbiri olaraq serverləri şəbəkədən ayırıblar.
PHP-dəki iki təhlükəsizlik boşluğuna ümumi baxış
Söhbət PHP nüvəsindəki iki ayrı xətadan gedir: CVE-2026-109618 və CVE-2026-109619. PHP təhlükəsizlik komandasının məlumatına görə, hər ikisi hücumçunun sistemə daxil olmadan serverdə proqram kodu icra etməsinə səbəb ola bilər (autentifikasiya olmadan uzaqdan kod icrası). Təhlükəsizlik boşluqları CVSS v4.0: 9,2 (kritik) ilə qiymətləndirilib.
| Xüsusiyyət | İzah |
|---|---|
| İdentifikatorlar | CVE-2026-109618 və CVE-2026-109619 |
| Qiymətləndirmə | CVSS v4.0: 9,2 — kritik |
| Təsir | Sistemə daxil olmadan serverdə kod icrası (uzaqdan kod icrası) |
| Səbəb 1 | Emal zamanı PHP üçün operativ yaddaş çatmadıqda yaddaşın korlanması (Out-of-Memory) |
| Səbəb 2 | Sorğular arasında yaddaşda qalan köhnəlmiş qlobal vəziyyət |
| Xüsusilə yüksək risk altında | mod_php ilə işləyən Apache |
BSI-nin qiymətləndirməsinə görə, məlumatın yayımlandığı vaxt təsdiqlənmiş hücum qeydə alınmamışdı, lakin boşluqlardan istifadə cəhdlərinə dair təsdiqlənməmiş məlumatlar var idi. Təcrübə göstərir ki, bu qədər geniş yayılmış proqram təminatında kritik boşluqlar aşkarlandıqda hücumçuların düzəlişləri təhlil etməsi və avtomatlaşdırılmış hücumlar hazırlaması gözləniləndir. Buna görə də düzəlişləri tətbiq etmək üçün vaxt azdır.
Kimlər təsirlənir?
Prinsip etibarilə, PHP-nin necə inteqrasiya edilməsindən asılı olmayaraq, PHP işlədən hər bir server təsirlənir: PHP-FPM, Apache-də mod_php, php-cgi, FrankenPHP və ya LiteSpeed. PHP təhlükəsizlik komandasının məlumatına görə, ən yüksək risk mod_php ilə işləyən Apache üçün mövcuddur.
BSI PHP əsasında işləyən və buna görə təsirlənə bilən aşağıdakı tətbiqləri xüsusi qeyd edir:
- Məzmun idarəetmə sistemləri: WordPress, Drupal, TYPO3, Joomla
- Onlayn mağaza sistemləri: Magento
- Bulud və fayl saxlama: Nextcloud
- Şəbəkələrarası ekranların idarəetmə interfeysləri: pfSense, OPNsense
Bunun baş verməsi üçün tətbiqin özündə xəta olması vacib deyil. Boşluq PHP-dədir, buna görə yalnız WordPress, Nextcloud & digər tətbiqlərin yenilənməsi kifayət etmir. Serverdəki PHP versiyası yenilənməlidir. pfSense və OPNsense kimi şəbəkələrarası ekranlarda düzəldilmiş PHP versiyası istehsalçının müvafiq mikroproqram yeniləməsi ilə təqdim olunur.
Bu PHP versiyaları təhlükəsizdir
Təhlükəsizlik boşluqları aşağıdakı versiyalarda aradan qaldırılıb. Bunlardan daha köhnə bütün versiyalar həssas hesab olunur.
| PHP versiya qolu | Tələb olunan minimum versiya | Qeyd |
|---|---|---|
| PHP 8.5 | 8.5.12 | cari versiya qolu |
| PHP 8.4 | 8.4.27 | |
| PHP 8.3 | 8.3.36 | |
| PHP 8.2 | 8.2.35 | Dəstək 31 dekabr 2026-cı ildə başa çatır |
| PHP 8.1 və daha köhnə versiyalar | rəsmi yeniləmə yoxdur, baxın: aşağıda | |
Serverinizi necə yoxlamalı və yeniləməlisiniz
1. Quraşdırılmış PHP versiyasını müəyyən edin
Serverin əmr sətrində php -v əmri əmr sətrində işləyən PHP-nin versiyasını göstərir. Veb-server başqa PHP versiyasından istifadə edə bilər. Buna görə PHP-FPM-in və ya Apache modulunun versiyasını da yoxlayın, məsələn, php-fpm8.3 -v əmri ilə və ya phpinfo() nəticəsini göstərən səhifə vasitəsilə (sonra bu səhifəni dərhal silin).
2. Paket meneceri vasitəsilə yeniləməni quraşdırın
Debian, Ubuntu, RHEL və onlarla əlaqəli distributivlərdə düzəldilmiş versiya standart paket meneceri vasitəsilə təqdim olunur, məsələn, apt update && apt upgrade və ya dnf upgrade əmri ilə quraşdırılır. Sury-PPA və ya Remi-Repository kimi üçüncü tərəf mənbələrində yeni paketlər adətən qısa müddətdə əlçatan olur.
apt changelog php8.3-fpm və ya rpm -q --changelog php | grep CVE-2026-1096 ilə).
3. PHP xidmətini yenidən başladın
Təkcə paketi yeniləmək kifayət deyil: işləyən PHP prosesləri köhnə kodu yaddaşda saxlayır. PHP-FPM-i (systemctl restart php8.3-fpm) və ya Apache-ni (systemctl restart apache2) yenidən başladın və sonra proseslərin yeniləmədən sonra başladıldığını yoxlayın.
4. Hostinqdə yerləşdirilən veb-saytlar
Paylaşılan hostinqdə yeniləməni adətən provayder həyata keçirir. Müştəri panelində çox vaxt hər veb-sayt üçün PHP versiyasını ayrıca seçmək olur. Orada yuxarıda göstərilən təhlükəsiz versiyalardan birini seçin və ya düzəlişlərin tətbiq olunub-olunmadığını provayderdən soruşun. BSI-nin məlumatına görə, bəzi provayderlər ehtiyat tədbiri olaraq serverləri şəbəkədən ayırıblar. Saytınız qısa müddətə əlçatmaz olarsa, səbəb bu ola bilər.
PHP 8.1 və daha köhnə versiyalar: rəsmi yeniləmə yoxdur
PHP 8.1 və daha köhnə versiyalar üçün artıq rəsmi təhlükəsizlik yeniləmələri yoxdur. Belə sistemləri idarə edənlərin iki seçimi var:
- Dəstəklənən versiyaya keçmək (tövsiyə olunur). Versiya nə qədər köhnədirsə, tətbiqi və genişləndirmələri uyğunlaşdırmaq bir o qədər çox iş tələb edir. Buna görə keçid əvvəlcədən sınaqdan keçirilməlidir.
- Düzəlişləri köhnə versiyalara uyğunlaşdırmaq. PHP təhlükəsizlik komandası düzəlişləri GitHub-dakı inkişaf budaqlarında təqdim edib. PHP-ni özü kompilyasiya edənlər bu dəyişiklikləri köhnə versiyalara tətbiq edə bilərlər. Bu, müvəqqəti həll yoludur və mütəxəssis biliyi tələb edir.
PHP 8.2 də yalnız 31 dekabr 2026-cı ilədək dəstəklənir. Buna görə PHP 8.4 və ya 8.5-ə keçidi indidən planlaşdırın və ilin sonuna saxlamayın.
Müvəqqəti tədbirlər və “Serveri şəbəkədən ayırmalıyam?” sualı
PHP təhlükəsizlik komandası elanla birlikdə müvəqqəti qorunma tədbirlərini də açıqlayıb. Bu tədbirlər riski azaldır, lakin boşluqları tam aradan qaldırmır. Onlar yeniləməni əvəz etmir və yalnız yeniləmə tətbiq edilənədək müvəqqəti qorunma üçün nəzərdə tutulub.
Yeniləmə tətbiq edilənədək serverin şəbəkədən ayrılmasının lazım olub-olmaması onun əhəmiyyətindən və haradan əlçatan olmasından asılıdır. BSI bildirir ki, iri provayderlər bu addımı atıblar. Ümumi qayda belədir:
- İnternetdən əlçatan server, yeniləməni indi tətbiq etmək mümkündür: düzəlişi dərhal tətbiq edin, serveri söndürməyə ehtiyac yoxdur.
- İnternetdən əlçatan server, yeniləməni yaxın vaxtda tətbiq etmək mümkün deyil: girişi məhdudlaşdırın (məsələn, şəbəkələrarası ekran vasitəsilə yalnız məlum ünvanlara icazə verin) və ya xidməti müvəqqəti dayandırın, xüsusən
mod_phpistifadə olunursa. - Yalnız daxili şəbəkədən əlçatan server: düzəlişi yaxın vaxtda tətbiq edin, təcililik dərəcəsi daha aşağıdır.
Tez-tez verilən suallar
WordPress, Joomla və ya Nextcloud-u yeniləməliyəm?
Bu boşluğa görə buna ehtiyac yoxdur. Boşluq tətbiqdə deyil, PHP-dədir. Serverdəki PHP versiyasını yeniləyin. Bununla yanaşı, tətbiqin yenilənməsi də faydalıdır.
Kiminsə bu boşluqdan artıq istifadə edib-etmədiyini necə müəyyənləşdirə bilərəm?
Bunu dəqiq müəyyənləşdirmək çətindir. Veb qovluğundakı naməlum PHP faylları, veb-server istifadəçisi adından işləyən qeyri-adi proseslər, yeni istifadəçi hesabları və ya Cron tapşırıqları, eləcə də qeyri-adi çıxış trafiki şübhə doğuran əlamətlərdir. Konkret şübhə varsa, sistem rəqəmsal ekspertizadan keçirilməli və şübhə aradan qalxmırsa, yenidən qurulmalıdır.
Veb tətbiqi təhlükəsizlik divarı kifayətdirmi?
Şəbəkələrarası ekran məlum hücum nümunələrinin qarşısını ala bilər, lakin yeniləməni əvəz etmir. Bir neçə qorunma qatının birlikdə necə işlədiyi barədə bu məqaləmizdə ətraflı oxuyun: Odoo 19-un təhlükəsizliyi: şəbəkələrarası ekran, 2FA & Web RBL. Bu prinsiplər hər bir veb tətbiqinə aiddir.
Odoo təsirlənirmi?
Xeyr. Odoo Python dilində yazılıb və PHP üzərində işləmir. Yalnız eyni serverdə işləyən PHP tətbiqləri təsirlənə bilər.
Rəsmi məlumatları haradan tapa bilərəm?
PHP təhlükəsizlik komandasının elanını burada tapa bilərsiniz: php.net saytının xəbər arxivləri (20 oktyabr 2026-cı il tarixli qeyd), versiyaları isə burada: php.net/downloads. BSI-nin xəbərdarlığının nömrəsi 2026-297981-1032-dir və bu saytda bsi.bund.de dərc olunub.
Biricon IT Services tərəfindən dəstək
Serverinizdə hansı PHP versiyasının işlədiyinə əmin deyilsinizsə və ya düzəlişləri tətbiq etməkdə köməyə ehtiyacınız varsa, sizə məmnuniyyətlə dəstək göstərərik: bütün PHP sistemlərinin inventarlaşdırılmasında, yeniləmələrin tətbiqində, dəstəklənən PHP versiyasına keçiddə və sistemə icazəsiz müdaxilə olub-olmadığının yoxlanmasında. İT xidmətləri təminatçısı olaraq kiçik və orta müəssisələrin serverlərinə, şəbəkələrarası ekranlarına və veb tətbiqlərinə xidmət göstəririk.
Məlumatın tarixi: 21 oktyabr 2026. Vəziyyət qısa müddətdə dəyişə bilər; PHP təhlükəsizlik komandasının və BSI-nin dərc etdiyi məlumatlar əsas götürülməlidir.