21ê Cotmehê 2026 | PHP | Ewlehiya IT
Di 21ê Cotmehê 2026 de tîma ewlehiyê ya PHP nûvekirinan ji bo hemû guhertoyên PHP yên hê têne piştgirîkirin weşand. Ew du valahiyên krîtîk digirin ku bi navê PHP2Shell hatine naskirin. BSI li ser vê hişyariyek derxist û daxwaz dike ku pergalên bandorbûyî bêyî derengî werin yamakirin. Yê ku serverekî webê bi PHP dimeşîne, divê îro tevbigere. Ev ji bo wan jî derbasdar e ku “tenê” WordPress, Nextcloud an Joomla dimeşînin, ji ber ku ev sepan li ser PHP dixebitin.
Ev nivîs kurt dike çi qewimî, kîjan guhertoyên PHP bandor bûne, hûn niha kîjan guhertoyê hewce dikin û hûn çawa di çend deqîqeyan de kontrol bikin ka serverê we parastî ye.
Naveroka vê nivîsê
Çi qewimî? Rêza demê
Tîma ewlehiyê ya PHP weşana rastkirinan pêşwext ragihand, da ku hoster û rêvebir demê bibînin ku xwe amade bikin. Weşan bi xwe di 21ê Cotmehê 2026 de pêk hat. BSI di heman rojê de hişyariya xwe (guhertoya 1.1) derxist.
- 20ê Cotmehê 2026: Hişyariya pêşwext a tîma ewlehiyê ya PHP, ku roja din nûvekirinên ewlehiyê têne weşandin.
- 21ê Cotmehê 2026, saet 14:00 UTC (16:00 MESZ): Yamayên ji bo PHP 8.5, 8.4, 8.3 û 8.2 têne weşandin.
- 21ê Cotmehê 2026: BSI li ser “valahiyên krîtîk ên ku sepanên webê li seranserê cîhanê tehdît dikin” hişyar dike û pêşniyar dike ku bêyî derengî were yamakirin. Li gorî agahiyên BSI hin pêşkêşkerên mezin ên hostingê serverên xwe wekî tedbîr ji torê derxistine.
Her du valahiyên PHP bi kurtî
Du xeletiyên cuda di navika PHP de ne: CVE-2026-109618 û CVE-2026-109619. Her du jî li gorî agahiyên tîma ewlehiyê ya PHP dikarin bibin sedem ku êrîşkarek koda bernameyê li ser serverê bê têketin bimeşîne (unauthenticated Remote Code Execution). Valahî bi CVSS v4.0: 9,2 (krîtîk) têne nirxandin.
| Taybetmendî | Wate |
|---|---|
| Nasnav | CVE-2026-109618 û CVE-2026-109619 |
| Nirxandin | CVSS v4.0: 9,2 — krîtîk |
| Bandor | Darvekirina kodê li ser serverê (Remote Code Execution), bê têketin |
| Sedem 1 | Bîra xerabûyî dema ku PHP di dema pêvajoyê de êdî bîra xebatê nestîne (Out-of-Memory) |
| Sedem 2 | Rewşa gerdûnî ya kevn ku di navbera daxwazan de di bîrê de dimîne |
| Bi taybetî di xetereyê de | Apache bi mod_php |
Li gorî nirxandina BSI di dema weşanê de êrîşên pejirandî tunebûn, lê nîşaneyên nepejirandî yên hewldanên bikaranînê hebûn. Di valahiyên krîtîk de di nermalaveke ew qas berbelav de, li gorî ezmûnê, tê hêvî kirin ku êrîşkar rastkirinan analîz bikin û êrîşên otomatîk amade bikin. Pencereya demê ji bo yamakirinê ji ber vê yekê kurt e.
Kî bandor bûye?
Bi prensîbî her serverê ku PHP li ser dixebite bandor bûye, bêyî ku PHP çawa girêdayî ye: PHP-FPM, mod_php di Apache de, php-cgi, FrankenPHP an LiteSpeed. Li gorî tîma ewlehiyê ya PHP xetere li Apache bi mod_php herî bilind e.
BSI bi eşkereyî sepanên ku li ser PHP hatine avakirin û ji ber vê yekê dikarin bandor bibin bi nav dike:
- Pergalên rêveberiya naverokê: WordPress, Drupal, TYPO3, Joomla
- Pergalên firotgehê: Magento
- Cloud û depokirina pelan: Nextcloud
- Navrûyên Firewallê: pfSense, OPNsense
Sepanê bi xwe ji bo vê ne hewce ye ku şaş be. Valahî di PHP de ye, ji ber vê yekê nûvekirinek WordPress, Nextcloud & yên din bi tena serê xwe nabe alîkar. Divê guhertoya PHP li ser serverê were nûvekirin. Di Firewallên wekî pfSense û OPNsense de guhertoya PHP ya rastkirî bi nûvekirina firmware ya hilberîner ya têkildar tê.
Ev guhertoyên PHP ewle ne
Valahî di guhertoyên jêrîn de hatine çareserkirin. Her tiştê li jêr wan wekî xeternak tê hesibandin.
| Şaxa PHP | Herî kêm pêwîst | Nîşe |
|---|---|---|
| PHP 8.5 | 8.5.12 | şaxa heyî |
| PHP 8.4 | 8.4.27 | |
| PHP 8.3 | 8.3.36 | |
| PHP 8.2 | 8.2.35 | Piştgirî di 31ê Kanûna Pêşîn 2026 de diqede |
| PHP 8.1 û kevntir | nûvekirineke fermî tune, binêre jêr | |
Hûn serverê xwe çawa kontrol bikin û nûve bikin
1. Guhertoya PHP ya sazkirî diyar bike
Li ser rêzika fermanê ya serverê php -v guhertoya PHP ya rêzika fermanê nîşan dide. Serverê webê dikare guhertoyeke din bi kar bîne. Ji ber vê yekê guhertoya PHP-FPM an jî modula Apache jî kontrol bike, wekî mînak bi php-fpm8.3 -v an bi rûpelekî ku phpinfo() derdixe (ev piştre tavilê dîsa jê bibe).
2. Nûvekirinê bi rêveberiya pakêtan bicih bike
Li Debian, Ubuntu, RHEL û yên têkildar guhertoya rastkirî bi rêveberiya pakêtan a asayî tê, wekî mînak apt update && apt upgrade an dnf upgrade. Li çavkaniyên derve wekî Sury-PPA an Remi-Repository pakêtên nû bi piranî di demeke nêzîk de xuya dibin.
apt changelog php8.3-fpm an rpm -q --changelog php | grep CVE-2026-1096).
3. Karûbarê PHP ji nû ve bide destpêkirin
Nûvekirineke pakêtê bi tena serê xwe bes nîne: prosesên PHP yên dimeşin koda kevn di bîrê de digirin. PHP-FPM (systemctl restart php8.3-fpm) an jî Apache (systemctl restart apache2) ji nû ve bide destpêkirin, û paşê kontrol bike ka proses piştî nûvekirinê dest pê kirine.
4. Malperên hostkirî
Di Shared Hostingê de bi gelemperî pêşkêşker nûve dike. Di menûya mişteriyan de bi piranî guhertoya PHP ji bo her malperekê dikare were mîhengkirin. Li wir yek ji guhertoyên ewle yên li jor hilbijêre, an jî ji pêşkêşker li ser rewşa yamayan bipirse. Li gorî agahiyên BSI hin pêşkêşker serveran wekî tedbîr ji torê derxistine. Heke malpera we ji bo demeke kurt neyê gihîştin, dibe ku ev sedem be.
PHP 8.1 û kevntir: nûvekirineke fermî tune
Ji bo PHP 8.1 û kevntir êdî nûvekirinên ewlehiyê yên fermî tune ne. Rêvebirên pergalên wisa du îmkanan hene:
- Biçe guhertoyeke piştgirîkirî (tê pêşniyarkirin). Çiqas guhertoya kevntir be, ewqas hewcedariya guhertinê ji bo sepan û berfirehkirinan mezintir e, ji ber vê yekê divê guhertin berê were ceribandin.
- Rastkirinan paşve bîne. Tîma ewlehiyê ya PHP rastkirin di şaxên pêşxistinê de li ser GitHub peyda kiriye. Yê ku PHP bi xwe kompîl dike, dikare van guhertinan di guhertoyên kevntir de bi kar bîne. Ev çareseriyeke demkî ye û zanîna pispor hewce dike.
PHP 8.2 jî tenê heta 31ê Kanûna Pêşîn 2026 tê piştgirîkirin. Ji ber vê yekê derbasbûna PHP 8.4 an 8.5 niha plan bike, û wê nehêle heta guhertina salê.
Tedbîrên demkî û pirsa “Server ji torê derxînin?”
Tîma ewlehiyê ya PHP bi ragihandinê re tedbîrên demkî yên parastinê jî diyar kiriye. Ev xetereyê kêm dikin, lê valahiyan bi tevahî nagirin. Ew nûvekirinê nagirin şûna û tenê ji bo derbaskirina dema heta nûvekirinê hatine armanc kirin.
Gelo divê server heta nûvekirinê ji torê were derxistin bi girîngî û gihîştina wî ve girêdayî ye. BSI dibêje ku pêşkêşkerên mezin ev gav avêtine. Wekî rêzikeke gelemperî:
- Serverê ku ji raya giştî tê gihîştin, nûvekirin niha pêkan e: tavilê yama bike, girtin ne hewce ye.
- Serverê ku ji raya giştî tê gihîştin, nûvekirin di demeke kurt de ne pêkan e: gihîştinê sînordar bike (wekî mînak bi Firewallê tenê ji bo navnîşanên naskirî) an karûbarê demkî bigire, bi taybetî di rewşa
mod_phpde. - Serverê tenê ji hundir tê gihîştin: di demeke nêzîk de yama bike, lezgînî kêmtir e.
Pirsên pir tên pirsîn
Gelo pêdivî ye ez WordPress, Joomla an Nextcloud nû bikim?
Ne ji ber vê qelsiyê. Ev qelsî di PHP de ye, ne di bernameyê de. Guhertoya PHP ya li ser serverê nû bikin. Nûvekirina bernameyê jî, bêyî vê, dîsa jî watedar e.
Ez çawa fêm bikim ka kesek berê vê qelsiyê bi kar aniye?
Gotineke ewle zehmet e. Dosiyên PHP yên nenas di peldanka webê de, pêvajoyên neasayî di bin bikarhênerê webserverê de, hesabên bikarhêner an cronjobên nû û trafîka derçûyî ya neasayî balkêş in. Heke gumanek konkret hebe, divê pergal bi awayekî forensîk were kontrolkirin û di rewşa dudiliyê de ji nû ve were sazkirin.
Gelo Web Application Firewall bes e?
Firewall dikare şêweyên êrîşê yên naskirî asteng bike, lê ne alternatîfa nûvekirinê ye. Derbarê hevkariya çend qatên parastinê de li nivîsa me bixwînin: Ewlekirina Odoo 19: Firewall, 2FA & Web RBL. Prensîb ji bo her sepana webê derbasdar in.
Gelo Odoo bandor dibe?
Na. Odoo bi Python hatiye nivîsandin û li ser PHP nayê xebitandin. Tenê sepanên PHP yên ku li ser heman serverê dixebitin dikarin bandor bibin.
Agahiyên fermî li ku bibînim?
Daxuyaniya tîma ewlehiyê ya PHP-ê hûn dikarin di arşîvên nûçeyan li php.net (tomara 20ê cotmeha 2026) bibînin, guhertoyan di php.net/downloads. Hişyariya BSI hejmara 2026-297981-1032 hildigire û li bsi.bund.de hatiye weşandin.
Piştgirî ji Biricon IT Services
Heke hûn bawer nînin ka kîjan guhertoya PHP li ser serverê we dixebite, an jî ji bo patchkirinê alîkarî hewce ne, em bi dilxweşî piştgiriyê didin we: di çêkirina lîsteya hemû pergalên PHP, di sazkirina nûvekirinan, di derbasbûna guhertoyeke PHP ya piştgirîkirî û di kontrolkirina têkçûnê (kompromîs) de. Wekî pêşkêşkarê IT em serveran, firewallan û sepanên webê ji bo karsaziyên biçûk û navîn digirin ser xwe.
Rewş: 21ê cotmeha 2026. Rewş dikare di demeke kurt de biguhere; weşanên tîma ewlehiyê ya PHP-ê û BSI-yê diyarker in.