21 Ekim 2026 PHP ve Node.js Güvenlik Güncellemeleri: Kurumsal Web Ekipleri Şimdi Ne Yapmalı?

PHP arşivi; PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinin CVE-2026-109618 (bellek tükenmesiyle bozulma) ve CVE-2026-109619 (eski global durum) açıklarını düzelttiğini bildirir. PHP bunları kimlik doğrulamasız uzaktan kod çalıştırmaya izin verebilen kritik açıklar olarak tanımlar.

PHP; PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed dahil web isteği sunan kurulumları risk kapsamında tanımlar. Arşiv eksiksiz bir en düşük etkilenen yama aralığı vermez; böyle bir aralık çıkarsamayın. Paket durumunu yalnız sürüm metninden değerlendirmek yerine dağıtım/üretici backport’larını kontrol edin.

Arşiv PHP 8.1 ve öncesinin PHP projesinden artık güncelleme almadığını belirtir ve 7.4, 8.0, 8.1 için sınırlı kaynak backport’ları açıklar. Bunlar resmî desteği yeniden başlatmaz veya desteklenen platform planının yerine geçmez.

Resmî 21 Ekim yazısı 26.x, 24.x ve 22.x için güvenlik güncellemelerini, v26.12.1, v24.22.1 ve v22.23.4 indirmeleriyle listeler. En yüksek önem derecesi HIGH’dır. Etkilenen hatlar açık bazında değişir: CVE-2026-105482 (DNS NUL kesilmesi) üç hattı da etkilerken CVE-2026-105483 (TLS tam genişlikli IP ana bilgisayar doğrulaması) 26.x ve 24.x’i etkiler.

Yazı ayrıca 26.x, 24.x ve 22.x’te Brotli çözücüsündeki CVE-2026-111497’yi ve hat kapsamı farklı c-ares, ca-cert, OpenSSL, SQLite, Undici bağımlılık güncellemelerini açıklar. Bu eksiksiz CVE envanteri değildir; güncel referans resmî yazıdır. Bağımlılık duyuruları ve platforma özel uyumluluk ayrıca incelenmelidir.

PHP arşivi ayrı olarak session.upload_progress.enabled ayarının incelenmesini önerir ve serializer yapılandırması ile runtime değişikliklerinin sıra dışı birleşimini açıklar. CVE-2026-115560’a atıf yapar; tam duyuru/düzeltmenin normal sürüm döngüsünde geleceğini belirtir.

Bu, 21 Ekim düzeltmelerinden ayrıdır. PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35’in bu sonraki sorunu düzelttiğini söylemeyin. Sorumlu platform sahibinden gerçek uygulama için resmî yapılandırma önerisini incelemesini isteyin; geçici önlemleri uyumluluk ve kullanılabilirlik incelemeden üretime kopyalamayın.

Sorumlu ekip çalışan web worker/container sürümünü, CMS/framework desteğini, yayındaki lockfile’ları ve üretici paket duyurularını, yapılandırmayı, istek işleme biçimini ve ilgili bağımlılıkları incelemelidir. Tarayıcıda görünen başlık veya geliştiricinin yerel sürümü tek başına güvenilir envanter değildir.

Kanıtı, etkilenen hizmeti, sahibini, uyumluluk kısıtlarını ve üreticinin düzeltme durumunu kaydedin. Bu bir inceleme zemini oluşturur; belirli sitenin istismar edildiği veya güvenli olduğu sonucunu vermez. İhlal şüphesi kurumun olay müdahalesi sorumlusuna aittir.

Bunlar önerilen planlama pencereleridir; MadeByCat yanıt veya çözüm taahhütleri değildir. Aciliyet maruziyete ve kurumun yetkili teknik/güvenlik sorumlularına bağlıdır.

İlgili üreticinin desteklediği düzeltmeyi uyumluluk incelemesi ve aşamalı testlerle kullanın; acil düzeltmeyi tasarım yenileme briefini beklemek için geciktirmeyin.

Destek ufkunu, yama ritmini, sahipsiz bağımlılıkları, editoryal sürdürülebilirliği ve teknik borcu inceleyin. Yama doğru acil adım olabilir; ancak son yaşam döngüsü planı olmayabilir. Yükseltme, refactor veya replatform’u yalnız kanıt gerektiriyorsa seçin.

Görünür resmî kaynaklara dayalı, hazırlık sırasında 24 Ekim 2026’da kontrol edilmiş eğitici içerik. Penetrasyon testi, güvenlik sertifikasyonu, açık taraması veya olay müdahalesi değildir. İşlemden önce resmî duyuruları yeniden kontrol edin; paket düzeltmeleri ve kaynak notları değişebilir.

Bilgi değiştiğinde kaynak kaydını ve iki dil sürümünü güncelleyin, önemli değişiklik tarihini kaydedin; olay tarihiyle içerik yayın tarihini ayrı tutun.