PHP’de Kritik Güvenlik Açığı: CVE-2026-109618 ve 109619

21 Ekim 2026 – Kritik Güvenlik Uyarısı

PHP güvenlik açığı nedeniyle dünya genelinde milyonlarca web sitesini ilgilendiren önemli bir güvenlik uyarısı yayımlandı. PHP geliştirici ekibi, 21 Ekim 2026 tarihinde CVE-2026-109618 ve CVE-2026-109619 olarak tanımlanan iki kritik güvenlik açığını gidermek için olağan yayın takvimi dışında güncelleme yayımladı. Her iki güvenlik açığı da CVSS v4.0 değerlendirmesinde 9,2 puan alıyor ve belirli koşullarda saldırganların kimlik doğrulaması yapmadan sunucuda uzaktan kod çalıştırmasına imkân verebiliyor.

Bu gelişme yalnızca PHP geliştiricilerini ilgilendirmiyor. WordPress, WooCommerce, Laravel ve PHP ile hazırlanmış özel yazılımlar da kullanılan sunucu yapılandırmasına ve PHP sürümüne bağlı olarak risk altında olabilir. Özellikle Apache üzerinde mod_php kullanan sistemlerde, uygulamanın kendi güvenlik kontrolleri çalışmadan önce saldırının gerçekleşebildiği bir senaryo doğrulanmış durumda.

CDN ve web güvenliği hizmetleri sunan Bunny.net, aynı gün yayımladığı açıklamada Bunny Shield üzerinden bazı saldırı yöntemlerini engellemeye yönelik yeni WAF kurallarını devreye aldığını duyurdu. Ancak şirketin açıklamasındaki en önemli ayrıntı, bu kuralların tam koruma sağlamadığı ve PHP’nin mutlaka güncellenmesi gerektiği yönündeki uyarı.

PHP güvenlik ekibi de benzer şekilde geçici koruma önlemlerinin riski yalnızca azaltabileceğini, iki güvenlik açığının tamamen giderilmesi için düzeltilmiş PHP sürümlerinin kullanılmasının gerekli olduğunu belirtiyor.

CVE-2026-109618 ve CVE-2026-109619 Nedir?

Her iki açık PHP’nin çekirdek çalışma ortamında bulunuyor. Başka bir ifadeyle sorun, belirli bir WordPress temasına, WooCommerce eklentisine veya üçüncü taraf PHP kütüphanesine ait değil.

Bu ayrım önemli. Çünkü web sitesi sahipleri güvenlik açığı haberlerinde genellikle sorunlu eklentiyi güncellemeye veya kaldırmaya alışkın. Burada ise PHP’nin istekleri işleme ve bellek yönetimi süreçlerinde bulunan hatalar söz konusu.

CVE-2026-109618, PHP’nin bellek yetersizliği durumlarını yönetme biçimiyle ilgili. Bir HTTP isteği işlenirken bellek sınırına ulaşılması, bazı dahili verilerin henüz tam hazırlanmadığı bir aşamada işlemin kesilmesine neden olabiliyor. PHP daha sonra bu eksik veya geçersiz verilerle işlem yapmaya çalıştığında bellek bozulması ortaya çıkabiliyor.

CVE-2026-109619 ise farklı istekler arasında bellekte kalan dahili durum bilgilerinin güvenli şekilde temizlenememesiyle ilişkili. Önceki bir isteğe ait bellek serbest bırakılmış olsa bile bazı referanslar daha sonraki isteklerde kullanılabilir durumda kalabiliyor. Bu durum, uygun koşullarda use-after-free olarak bilinen bellek güvenliği problemine yol açıyor.

İki güvenlik açığının teknik nedeni farklı olsa da olası sonuçları oldukça ciddi. Başarılı bir saldırı, PHP işlemini çalıştıran sunucu hesabının yetkileri kapsamında kod yürütülmesine, hassas verilere erişilmesine veya uygulamanın çalışmasının engellenmesine neden olabilir.

Ancak her PHP sunucusunda aynı saldırı yönteminin aynı başarıyla çalışacağını söylemek doğru değil. Gerçek istismar koşulları PHP’nin çalışma yöntemi, yapılandırma, kullanılan eklentiler ve sunucu ortamına göre değişebiliyor.

CVE-2026-109618 Neden Tehlikeli?

CVE-2026-109618’in dikkat çeken tarafı, bazı koşullarda uygulama kodu çalışmaya başlamadan önce istismar edilebilmesi.

Normalde bir web uygulaması gelen isteği karşılar ve uygulamanın güvenlik kontrolleri devreye girer. Kullanıcı doğrulaması, erişim kontrolü veya uygulama seviyesindeki diğer kurallar belirli saldırıları engelleyebilir.

Ancak bu açık PHP’nin HTTP isteğini hazırlama ve bellek yönetimi süreçleriyle ilgili olduğu için saldırı, bazı yapılandırmalarda uygulama katmanına ulaşılmadan gerçekleşebiliyor.

PHP güvenlik ekibi, Apache üzerinde mod_php kullanılan varsayılan koşullara yakın bir ortamda kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma senaryosunun doğrulandığını açıkladı.

PHP-FPM tarafında ise durum aynı şekilde değerlendirilmemeli. PHP’nin resmî güvenlik açıklaması FPM’in de etkilenebileceğini belirtiyor ancak CVE-2026-109618 için duyuru sırasında mod_php üzerindekiyle aynı düzeyde doğrulanmış, tam bir FPM istismarı bulunmadığını ifade ediyor.

Bu, PHP-FPM kullanan sitelerin güvende olduğu anlamına gelmiyor. Güvenlik açığının etkilediği kod yolları ve diğer olası saldırı senaryoları nedeniyle bu sistemlerin de güncellenmesi gerekiyor.

CVE-2026-109619 Nasıl Bir Risk Oluşturuyor?

İkinci güvenlik açığı PHP’nin istekler arasında tuttuğu dahili durum bilgileriyle ilişkili.

Web sunucuları performans amacıyla aynı PHP worker işlemini birden fazla HTTP isteğini karşılamak için kullanabilir. Normal koşullarda bir isteğe ait verilerin yaşam döngüsü tamamlandığında güvenli biçimde temizlenmesi gerekir.

CVE-2026-109619’da bazı hata ve başlatma senaryolarında bu temizleme işlemi beklenen şekilde gerçekleşmeyebiliyor. Serbest bırakılmış belleğe işaret eden dahili bilgiler daha sonraki bir istek sırasında yeniden kullanılabiliyor.

PHP’nin resmî açıklamalarında oturum tabanlı dosya yükleme ilerleme takibiyle ilişkili doğrulanmış bir saldırı yolu da yer alıyor.

Bu özellik PHP’de session.upload_progress.enabled ayarıyla yönetiliyor. Ancak risk yalnızca dosya yükleme ilerleme takibiyle sınırlı değil. PHP geliştiricileri, kritik hatalar ve erken başlatma aşamalarında oluşan başka senaryoların da güvenlik açığıyla ilişkili olabileceğini belirtiyor.

Bu nedenle yalnızca belirli bir özelliğin kapatılması sorunu tamamen ortadan kaldırmıyor.

Hangi PHP Sürümleri Etkileniyor?

PHP ekibi, güvenlik düzeltmelerini 21 Ekim 2026 tarihinde yayımladı. Aktif olarak desteklenen PHP sürüm dallarında aşağıdaki sürümler bu iki güvenlik açığının düzeltmesini içeriyor.

PHP 8.1 ve daha eski sürümler, PHP projesinin normal güvenlik desteği kapsamı dışında bulunuyor. Bu sürümler için resmî proje kapsamında yeni standart güvenlik sürümleri yayımlanmıyor.

Bununla birlikte bazı Linux dağıtımları ve uzun dönem destek sağlayıcıları eski sürümlere güvenlik yamalarını geri taşıyabiliyor. Bu yönteme security backport deniyor.

Dolayısıyla bir sunucunun yalnızca sürüm numarasına bakarak güvenli olup olmadığına karar vermek her zaman yeterli değil. Özellikle kurumsal Linux dağıtımlarında paket sağlayıcısının güvenlik duyurusu da kontrol edilmeli.

Yine de desteklenmeyen PHP sürümlerinde kalıcı olarak devam etmek sağlıklı bir yaklaşım değil. Mümkün olan projelerde desteklenen PHP sürümüne geçiş planlanmalı.

Ayrıca PHP 8.2 için resmî güvenlik desteğinin 31 Aralık 2026 tarihinde sona ereceği duyuruldu. Bu nedenle PHP 8.2.35’e güncelleme yapmak mevcut acil riski giderse de daha uzun vadeli sürüm geçişi ihtiyacını ortadan kaldırmıyor.

WordPress ve WooCommerce Siteleri Risk Altında mı?

Bu haber WordPress kullanan işletmeler açısından özellikle önemli. Çünkü WordPress PHP üzerinde çalışan bir içerik yönetim sistemi. WooCommerce de aynı altyapıyı kullanıyor.

Ancak burada yanlış bir algı oluşturmamak gerekiyor. CVE-2026-109618 ve CVE-2026-109619, WordPress’in kendi kodlarında keşfedilmiş güvenlik açıkları değil. PHP’nin çalışma ortamında bulunduğu için WordPress siteleri de dolaylı olarak etkilenebiliyor.

Örneğin WordPress çekirdeği güncel, tema ve eklentiler tamamen yeni olabilir. Ancak sunucu hâlâ güvenlik düzeltmesini içermeyen bir PHP sürümü çalıştırıyorsa risk devam edebilir.

Benzer şekilde WooCommerce mağazasındaki ödeme eklentilerinin güncel olması, PHP çekirdeğindeki bellek güvenliği problemlerini ortadan kaldırmaz.

WooCommerce açısından olası etkilerin daha dikkatli değerlendirilmesi gerekir. Bir e-ticaret mağazasında sipariş bilgileri, müşteri kayıtları, kullanıcı hesapları ve entegrasyonlara ait çeşitli hassas bilgiler bulunabilir.

Bir güvenlik açığının başarılı biçimde istismar edilmesi, saldırganın elde ettiği yetkilere bağlı olarak bu bilgilerin güvenliğini tehlikeye atabilir.

Bu, söz konusu PHP sürümlerini kullanan bütün WooCommerce mağazalarının saldırıya uğradığı anlamına gelmiyor. Ancak riskin yalnızca web sitesinin görünümünü veya erişilebilirliğini etkilemekle sınırlı olmadığını gösteriyor.

WordPress Sitenizin PHP Sürümünü Nasıl Kontrol Edebilirsiniz?

WordPress yönetim paneline erişebiliyorsanız PHP sürümünü kontrol etmek için Araçlar > Site Sağlığı > Bilgi > Sunucu bölümünü inceleyebilirsiniz. Burada kullanılan PHP sürümü ve sunucu ortamıyla ilgili bazı bilgiler yer alır.

Hosting panelinizde de PHP sürümünü gösteren bir alan bulunabilir. cPanel, Plesk veya özel yönetilen hosting sistemlerinde bu bölümün adı değişebilir.

Ancak yalnızca kontrol panelinde bir sürüm numarası görmek, güvenlik yamasının gerçekten uygulandığını doğrulamak için her zaman yeterli değildir. Sunucunun hangi PHP paketini kullandığı ve güvenlik düzeltmelerinin dağıtım tarafından geri taşınıp taşınmadığı da önemlidir.

Özellikle paylaşımlı hosting kullanan işletmeler, PHP güncellemesinin sunucu tarafında ne zaman uygulanacağını hizmet sağlayıcılarına sormalı.

Burada WordPress eklentilerini güncellemekle PHP sürümünü güncellemenin farklı işlemler olduğunu unutmamak gerekiyor.

WordPress yönetim panelindeki normal eklenti güncellemeleri, sunucunun PHP çalışma ortamını otomatik olarak değiştirmeyebilir.

Bunny Shield Bu Güvenlik Açıklarına Karşı Ne Yaptı?

Bunny.net, 21 Ekim 2026 tarihli duyurusunda Bunny Shield güvenlik altyapısında yeni yönetilen WAF kurallarını devreye aldığını açıkladı.

WAF, yani Web Application Firewall, web uygulamasına ulaşan HTTP isteklerini inceleyerek belirli saldırı davranışlarını engellemeye yardımcı olan güvenlik katmanıdır.

Bunny Shield’in yayımladığı korumalar, iki PHP güvenlik açığıyla ilişkili doğrulanmış bazı istek örüntülerine odaklanıyor.

Bunlardan biri PHP’nin oturum tabanlı dosya yükleme ilerleme takibiyle ilişkili belirli istekleri hedefliyor. Diğer kurallar ise özel hazırlanmış ve yoğun iç içe geçmiş form alanları gibi bellek tüketimini artırabilecek multipart istek yapılarını tespit etmeye çalışıyor.

Bu yaklaşımın avantajı, şüpheli isteğin sunucudaki PHP uygulamasına ulaşmadan önce engellenebilmesi.

Ancak Bunny.net, WAF kurallarının yalnızca tanımlanmış saldırı örüntülerine karşı koruma sağladığını belirtiyor. Güvenlik açıklarının başka yöntemlerle istismar edilmesi ihtimali bulunduğu için bu kurallar tam çözüm olarak değerlendirilmiyor.

Bir başka önemli ayrıntı da WAF çalışma modu.

Bunny Shield üzerinde WAF yalnızca kayıt tutma amacıyla çalışıyorsa eşleşen istekler kaydedilebilir ancak otomatik olarak engellenmez. Yönetilen kuralların eşleşen trafiği durdurabilmesi için ilgili Shield Zone’un engelleme modunda çalışması gerekiyor.

Dolayısıyla Bunny Shield kullanıyor olmak tek başına bütün saldırıların engellendiğini göstermiyor. WAF modu ve güvenlik olayları ayrıca kontrol edilmeli.

Üstelik bazı meşru uygulamalar da dosya yükleme ilerleme takibi veya oldukça karmaşık form alanları kullanabilir. Bu nedenle koruma kurallarının gerçek kullanıcı işlemlerine etkisini izlemek faydalı.

CDN veya WAF Kullanmak PHP Güncellemesinin Yerini Tutar mı?

Hayır. Bu güvenlik haberindeki en önemli mesajlardan biri, ek güvenlik katmanlarının PHP güncellemesinin yerine geçmemesi.

CDN, WAF ve sunucu güvenlik sistemleri saldırı trafiğinin önemli bölümünü engelleyebilir. Ancak güvenlik açığı PHP çekirdeğinde bulunduğu için belirli HTTP örüntülerini engellemek bütün istismar yollarını ortadan kaldırmaz.

Ayrıca sunucunun doğrudan erişilebilir olduğu yapılandırmalarda CDN üzerinden geçmeyen istekler de ayrı bir risk oluşturabilir. Bu nedenle origin sunucunun ağ erişimi ve güvenlik duvarı kuralları da değerlendirilmelidir.

PHP güvenlik ekibinin açıklaması bu konuda oldukça açık: Geçici önlemler belirli saldırı yollarına karşı riski azaltabilir, ancak tam düzeltme güvenlik yaması içeren PHP sürümünün kurulmasıyla sağlanır.

Bu nedenle Bunny Shield, başka bir WAF veya yönetilen hosting güvenliği kullanıyor olsanız bile PHP sürümünün güncel olup olmadığı mutlaka kontrol edilmeli.

PHP Güncellemesi Yapılamıyorsa Ne Olmalı?

Bazı web sitelerinde PHP sürümünü hemen değiştirmek kolay olmayabilir.

Örneğin eski bir WordPress teması yeni PHP sürümüyle uyumsuz olabilir. Özel yazılmış bir Laravel uygulamasında üçüncü taraf paketlerin güncellenmesi gerekebilir. Kurumsal bir sistemde ise sürüm değişikliği öncesinde test süreci zorunlu olabilir.

Buna rağmen güvenlik güncellemesini belirsiz bir tarihe ertelemek doğru değil.

Öncelikle mevcut sistemin tam yedeği alınmalı, kullanılan tema ve eklentilerin uyumluluğu kontrol edilmeli ve mümkünse hazırlık ortamında güncellenmiş PHP sürümü test edilmeli.

Kritik sistemlerde güncellemenin planlı biçimde uygulanması, sonrasında web sitesi, formlar, ödeme akışları ve dış servis entegrasyonlarının doğrulanması gerekir.

PHP güvenlik ekibi güncelleme yapılamayan sistemler için bazı geçici yapılandırma önlemleri de yayımladı. Bunlar bellek yönetimi, HTTP istek boyutu sınırları, yükleme işlemleri ve belirli oturum ayarlarıyla ilgili.

Ancak özellikle bellek yönetimi ayarlarının değiştirilmesi sunucunun kararlılığını ve kaynak kullanımını etkileyebilir. Bu tür işlemler, güvenlik duyurusundaki koşullar değerlendirilmeden rastgele uygulanmamalı.

Örneğin session.upload_progress.enabled özelliğinin kapatılması, CVE-2026-109619 ile ilişkili doğrulanmış saldırı yollarından birine karşı koruma sağlayabilir. Fakat aynı güvenlik açığının bütün istismar yöntemlerini engellemez ve çalışan PHP işçilerinin yeniden başlatılması gerekebilir.

Bu nedenle geçici önlemler, sistem yöneticisinin güncelleme tamamlanana kadar riski azaltmak için kullanabileceği yardımcı kontroller olarak düşünülmeli.

PHP Güvenlik Güncellemesinden Sonra Neler Kontrol Edilmeli?

PHP’nin güvenli sürümünün kurulması önemli bir adım olsa da işlemin tamamlandığını doğrulamak gerekiyor.

Özellikle farklı web sitelerinin veya uygulamaların aynı sunucuda barındırıldığı ortamlarda birden fazla PHP sürümü bulunabilir. Komut satırında görülen PHP sürümüyle web sitesinin gerçekten kullandığı PHP-FPM havuzunun sürümü aynı olmayabilir.

Bu nedenle uygulamanın kullandığı çalışma ortamı doğrulanmalı. Gerekli worker işlemlerinin yeniden başlatıldığından ve eski sürümle çalışan süreç kalmadığından emin olunmalı.

Güncelleme sonrasında WordPress yönetim paneli, giriş işlemleri, iletişim formları ve varsa WooCommerce ödeme akışı test edilmeli.

Sunucu ve WAF güvenlik kayıtlarının incelenmesi de önemli. Özellikle güvenlik duyurusundan önce veya sonra olağan dışı istekler, beklenmeyen uygulama hataları veya şüpheli dosya değişiklikleri tespit edilmişse bunlar ayrıca araştırılmalı.

Yalnızca güvenli sürüme geçmiş olmak, sistemin daha önce saldırıya uğramadığını kanıtlamaz. Bir ihlal şüphesi varsa olayın kapsamı incelenmeli, erişim bilgilerinin güvenliği değerlendirilmeli ve uygun olay müdahale süreci başlatılmalı.

Bu Güvenlik Açıkları Web Sitesinin SEO Performansını Etkiler mi?

CVE-2026-109618 ve CVE-2026-109619 doğrudan SEO algoritmalarıyla ilişkili değil. Ancak güvenlik ihlalinin sonuçları organik görünürlüğü dolaylı olarak etkileyebilir.

Bir web sitesinin saldırı sonucunda erişilemez hale gelmesi, zararlı yönlendirmeler oluşturulması veya sayfalara izinsiz içerik eklenmesi hem kullanıcılar hem arama motorları açısından ciddi problemlere neden olabilir.

Özellikle WordPress sitelerinde yetkisiz dosya değişiklikleri, spam sayfalar veya şüpheli yönlendirmeler gibi sorunlar yaşanması halinde güvenlik müdahalesiyle birlikte SEO tarafının da incelenmesi gerekir.

Ayrıca güncelleme sırasında yaşanabilecek uzun süreli kesintiler ve uygulama hataları da takip edilmeli.

Bu nedenle güvenlik güncellemesini yalnızca yazılım ekibinin konusu olarak görmek doğru değil. Web sitesinden müşteri kazanan işletmeler için erişilebilirlik, veri güvenliği ve organik görünürlük birbirine bağlı.

Fabrikido’da Bu Güvenlik Duyurusunu Nasıl Değerlendiriyoruz?

WordPress ve özel yazılım projelerinde güvenlik duyurularını değerlendirirken ilk olarak problemin hangi katmanda bulunduğunu anlamak gerekiyor.

Bir WordPress eklentisinde güvenlik açığı varsa ilgili eklentinin sürümü kontrol edilir. Tema kaynaklı sorun varsa tema güncellenir veya gerekli kod düzeltmesi yapılır.

Ancak bu olayda problem PHP’nin kendisinde bulunduğu için yalnızca WordPress yönetim panelindeki güncellemelerle yetinmek mümkün değil.

Sunucuda hangi PHP sürümünün çalıştığı, güvenlik düzeltmesinin uygulanıp uygulanmadığı ve kullanılan hosting altyapısının nasıl yönetildiği kontrol edilmeli.

Özellikle birden fazla müşterinin web sitesini yöneten ajanslar açısından bu tür olaylar daha kapsamlı envanter takibinin önemini gösteriyor. Hangi sitenin hangi PHP sürümünü kullandığını bilmeden onlarca farklı projede güvenlik güncellemesini yönetmek zorlaşabilir.

Benzer şekilde CDN veya WAF kullanılması değerli bir ek koruma katmanı sağlasa da bunun temel yazılım güncellemelerinin yerine geçmediğini unutmamak gerekiyor.

21 Ekim 2026 tarihinde yayımlanan CVE-2026-109618 ve CVE-2026-109619 güvenlik düzeltmeleri bu açıdan öncelikli olarak ele alınmalı.

Site sahiplerinin şu anda yapması gereken, mevcut PHP sürümünü ve kullanılan sunucu paketinin güvenlik durumunu doğrulamak. Etkilenen bir sürüm kullanılıyorsa güvenli güncellemeye geçişi geciktirmemek gerekiyor.

Güvenlik açığının kritik olarak sınıflandırılması, internetteki her PHP sitesinin ele geçirildiği anlamına gelmiyor. Ancak başarılı saldırının olası etkileri ve PHP’nin yaygın kullanımı düşünüldüğünde bu duyurunun ertelenebilecek sıradan bir bakım güncellemesi olmadığı açık.

Sıkça Sorulan Sorular

CVE-2026-109618 nedir?

CVE-2026-109618, PHP’nin bellek yetersizliği durumlarını yönetmesi sırasında oluşabilen ve belirli koşullarda uzaktan kod çalıştırmaya yol açabilen kritik bir güvenlik açığıdır. CVSS v4.0 değerlendirmesinde 9,2 puan almıştır.

CVE-2026-109619 nedir?

CVE-2026-109619, PHP’nin farklı HTTP istekleri arasında tuttuğu dahili durum bilgilerinin güvenli biçimde temizlenmemesiyle ilişkili bir bellek güvenliği açığıdır. Belirli koşullarda uzaktan kod çalıştırılmasına olanak verebilir.

WordPress siteleri bu PHP güvenlik açıklarından etkilenir mi?

Evet. WordPress PHP ile çalıştığı için kullanılan PHP sürümü ve sunucu yapılandırmasına bağlı olarak etkilenebilir. Sorun WordPress çekirdeğinde değil, PHP çalışma ortamındadır.

WooCommerce mağazaları için risk var mı?

WooCommerce siteleri de PHP üzerinde çalıştığından etkilenebilir. Riskin düzeyi kullanılan PHP sürümüne ve sunucu ortamına bağlıdır. Özellikle müşteri ve sipariş verileri bulunan e-ticaret sistemlerinde güvenlik güncellemesi geciktirilmemelidir.

Hangi PHP sürümlerine güncelleme yapılmalı?

Güvenlik düzeltmeleri PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 ve PHP 8.5.12 sürümlerinde yayımlandı. Eski sürümleri kullanan sistemler için desteklenen bir PHP sürümüne geçiş veya sağlayıcı tarafından doğrulanmış güvenlik yaması gereklidir.

Bunny Shield bu açıkları tamamen engelliyor mu?

Hayır. Bunny Shield belirli saldırı isteklerini WAF kurallarıyla engelleyebilir ancak bu kurallar iki güvenlik açığına karşı tam koruma sağlamaz. Ayrıca eşleşen isteklerin engellenebilmesi için WAF’ın uygun engelleme modunda çalışması gerekir.

PHP sürümünü güncellemek WordPress sitemi bozabilir mi?

Özellikle eski tema, eklenti ve özel yazılımlarda PHP sürüm değişikliği uyumluluk sorunlarına yol açabilir. Bu nedenle yedekleme ve temel işlev testleri önemlidir. Ancak kritik güvenlik yamasını uzun süre ertelemek yerine uyumluluk çalışmaları öncelikli olarak tamamlanmalıdır.

PHP-FPM kullanan sunucular güvenli mi?

Hayır. Bazı doğrulanmış saldırı senaryoları özellikle Apache mod_php üzerinde gösterilmiş olsa da PHP-FPM de güvenlik duyurusu kapsamında değerlendiriliyor. PHP-FPM kullanan sunucularda da ilgili güvenlik düzeltmesinin uygulanması gerekir.

WordPress eklentilerini güncellemek yeterli mi?

Hayır. Bu iki açık PHP’nin çekirdek çalışma ortamında bulunduğu için WordPress eklentilerini veya temalarını güncellemek tek başına yeterli değildir. Sunucunun PHP güvenlik sürümü de kontrol edilmeli ve gerekiyorsa güncellenmelidir.