CVE.org (henüz NVD analizi yok)· CNA php

CVE-2026-109619: RCE via stale global state

Noroxi değerlendirmesi

Öncelik: Hemen (aksiyon skoru 96/100)

CISA bu açığın sahada sömürüldüğünü doğruladı (26 Eki 2026). ABD kamu kurumları için kapatma son tarihi 29 Eki 2026.
Hazır saldırı modülü yayımlanmış (Nuclei); sömürmek özel uzmanlık gerektirmiyor.
Önümüzdeki 30 günde sömürülme olasılığı %99,9 (FIRST EPSS); kayıtların %99,9 kadarından yüksek.
Bu olasılık son 7 günde 94 puan arttı.
İnternetten erişebilen herkes tetikleyebilir. Hesap ya da parola gerekmez. Kullanıcının bir şey yapması gerekmez. Zamanlama ya da yapılandırma gibi özel koşullar gerekir.
Düzeltilmiş sürüm: PHP Group PHP 8.2.35, 8.3.36, 8.4.27.
Ulusal siber güvenlik bildirimlerinde (siberguvenlik.gov.tr) 1 kez anıldı.

Bugün yamayın ya da erişimi kapatın. PHP Group PHP 8.2.35, 8.3.36, 8.4.27 ya da daha yeni sürüme yükseltin.

Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz

Birincil kaynaklar: NVD · CVE.org · CISA KEV · FIRST EPSS

PHP has various global state that temporarily points into request memory. In some scenarios, global state may not be correctly reset, or may be repopulated after being reset. The global state may then refer to request memory even after it has been freed. Subsequent requests may read or branch on this stale state before it is fully initialized. Multiple strategies can trigger this condition and produce remote code execution (RCE).

KritikCVSS 9.2 · v4.0KEVSilahlaştırılmış Düzeltme var

Yayın: 21 Eki 2026
Güncelleme: 28 Eki 2026
EPSS: %99,9 · 99. yüzdelik▲ 94
CWE: CWE-416

Rapor araçları

JSON

Aksiyon skoru

Hemen

Bugün yamayın ya da erişimi kapatın.

CVSS: 36 / 40 · 9.2 / 10
CISA KEV: 30 / 30 · Listede
EPSS: 30 / 30 · %99,9

CISA SSVC kararı

Sömürü: aktif
Otomatikleştirilebilir: hayır
Teknik etki: tam

Vulnrichment: CISA'nın karar ağacı girdileri.

CNA ile NVD puanı

NVD: —
CNA · php: 9,2; NVD henüz kendi puanını vermedi; gösterilen puan CNA’nın.

CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.

Sahada aktif sömürülüyor

CISA bu zafiyeti 26 Eki 2026 tarihinde fiilen sömürülen zafiyetler kataloğuna (KEV) ekledi. Bu, teoriyi değil, gerçek saldırıları işaret eder.

ABD federal kurumları için son yama tarihi: 29 Eki 2026.

Bu kayıt değişirse haber alın

CISA KEV'de: sahada sömürüldüğü doğrulandı
Silahlaştırılmış istismar var
Düzeltme yayımlandı

Bunlardan biri değişirse günlük e-posta özetinde haber veririz.

WordPress siteniz mi var? WP Lens ile ücretsiz tarayın

Sürümünüz etkileniyor mu? Kontrol edin

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.

Bu ürünü kullanıyoruz, yardım isteyin

Etkilenen sistemler

Sürümünüz etkileniyor mu?

Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.

Üretici	Ürün	CPE
php	php	cpe:2.3:a:php:php
siemens	ruggedcom ape1808 firmware	cpe:2.3:o:siemens:ruggedcom_ape1808_firmware
siemens	ruggedcom ape1808	cpe:2.3:h:siemens:ruggedcom_ape1808
paloaltonetworks	pan-os	cpe:2.3:o:paloaltonetworks:pan-os
paloaltonetworks	panorama m-200	cpe:2.3:h:paloaltonetworks:panorama_m-200
paloaltonetworks	panorama m-300	cpe:2.3:h:paloaltonetworks:panorama_m-300
paloaltonetworks	panorama m-500	cpe:2.3:h:paloaltonetworks:panorama_m-500
paloaltonetworks	panorama m-600	cpe:2.3:h:paloaltonetworks:panorama_m-600
paloaltonetworks	panorama m-700	cpe:2.3:h:paloaltonetworks:panorama_m-700
paloaltonetworks	panorama virtual appliance	cpe:2.3:a:paloaltonetworks:panorama_virtual_appliance
paloaltonetworks	wf-500	cpe:2.3:h:paloaltonetworks:wf-500
paloaltonetworks	wf-500-b	cpe:2.3:h:paloaltonetworks:wf-500-b

Bu ürünü (php) kullanıyor musunuz? Stack’inize ekleyin; bunun gibi kayıtlarda ilk siz haberdar olun. (PHP)

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.

paloaltonetworks pan-os11.1.0 ve sonrası · 11.1.4 öncesi
paloaltonetworks pan-ostüm sürümler
paloaltonetworks pan-os12.2.0 ve sonrası · 12.2.4 öncesi
paloaltonetworks pan-os12.1.0 ve sonrası · 12.1.4 öncesi
paloaltonetworks pan-os11.2.0 ve sonrası · 11.2.4 öncesi
paloaltonetworks pan-os10.2.0 ve sonrası · 10.2.7 öncesi
paloaltonetworks pan-os10.2.10
paloaltonetworks pan-os10.2.11
paloaltonetworks pan-os10.2.12
paloaltonetworks pan-os10.2.13
paloaltonetworks pan-os10.2.14
paloaltonetworks pan-os10.2.15
paloaltonetworks pan-os10.2.16
paloaltonetworks pan-os10.2.17
paloaltonetworks pan-os10.2.18
paloaltonetworks pan-os10.2.7
paloaltonetworks pan-os10.2.8
paloaltonetworks pan-os10.2.9
paloaltonetworks pan-os11.1.10
paloaltonetworks pan-os11.1.11

Üreticinin bildirdiği sürümler

Kaydı açan otorite (php) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

PHP Group PHP
- 8.2.* ve sonrası · 8.2.35 öncesietkilenir · semver
- 8.3.* ve sonrası · 8.3.36 öncesietkilenir · semver
- 8.4.* ve sonrası · 8.4.27 öncesietkilenir · semver
- 8.5.* ve sonrası · 8.5.12 öncesietkilenir · semver

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Ekosistem	Paket	Etkilenen aralık	Düzeltme
AlmaLinux:10	php	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-bcmath	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-cli	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-common	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-dba	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-dbg	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-devel	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-embedded	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-enchant	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-ffi	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-fpm	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-gd	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-gmp	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-intl	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-ldap	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-mbstring	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-mysqlnd	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-odbc	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-opcache	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-pdo	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-pgsql	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-process	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-snmp	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2
AlmaLinux:10	php-soap	8.3.36-1.el10_2 öncesi	8.3.36-1.el10_2

+96

Aynı üründe

php: tüm kayıtlar

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

CVE-2024-4577Argument Injection in PHP-CGIKEV
99Hemen
CVE-2019-11043Underflow in PHP-FPM can lead to RCEKEV
99Hemen
CVE-2012-1823sapi/cgi/cgi_main.c in PHP before 5.3.12 and 5.4.x before 5.4.2, when configured as a CGI script (aka php-cgi), does not properly handle queKEV
99Hemen

Bu üründe bundan önce ve sonra yayımlananlar

← ÖncekiCVE-2026-9176825 Eyl 2026 · IPv6 ACL bypass in FastCGI listen.allowed_clients due to partial address comparison (memcmp 12 bytes)
26İzleyin
← ÖncekiCVE-2026-9284225 Eyl 2026 · OOB read / info leak in convert.* stream filters when line-break-chars contains NUL
23İzleyin
← ÖncekiCVE-2026-10961821 Eki 2026 · RCE via OOM corruptionKEV
96Hemen

Düzeltme

Hangi sürüme geçmeli

Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.

Ürün / paket	Düzeltilmiş sürüm	Kaynak
PHP Group PHP	8.2.35	Üretici (CNA)
PHP Group PHP	8.3.36	Üretici (CNA)
PHP Group PHP	8.4.27	Üretici (CNA)
PHP Group PHP	8.5.12	Üretici (CNA)
almalinux:php	8.3.36-1.el10_2 · AlmaLinux:10	Paket deposu (OSV)
almalinux:php-bcmath	8.3.36-1.el10_2 · AlmaLinux:10	Paket deposu (OSV)
almalinux:php-cli	8.3.36-1.el10_2 · AlmaLinux:10	Paket deposu (OSV)
almalinux:php-common	8.3.36-1.el10_2 · AlmaLinux:10	Paket deposu (OSV)
almalinux:php-dba	8.3.36-1.el10_2 · AlmaLinux:10	Paket deposu (OSV)
almalinux:php-dbg	8.3.36-1.el10_2 · AlmaLinux:10	Paket deposu (OSV)
almalinux:php-devel	8.3.36-1.el10_2 · AlmaLinux:10	Paket deposu (OSV)
almalinux:php-embedded	8.3.36-1.el10_2 · AlmaLinux:10	Paket deposu (OSV)
almalinux:php-enchant	8.3.36-1.el10_2 · AlmaLinux:10	Paket deposu (OSV)
almalinux:php-ffi	8.3.36-1.el10_2 · AlmaLinux:10	Paket deposu (OSV)
almalinux:php-fpm	8.3.36-1.el10_2 · AlmaLinux:10	Paket deposu (OSV)
almalinux:php-gd	8.3.36-1.el10_2 · AlmaLinux:10	Paket deposu (OSV)
debian:php8.2	8.2.35-1~deb12u1 · Debian:12	Paket deposu (OSV)
debian:php8.4	8.4.27-1~deb13u1 · Debian:13	Paket deposu (OSV)
opensuse:apache2-mod_php8	8.4.27-160000.1.1 · openSUSE:Leap 16.0	Paket deposu (OSV)
opensuse:php8	8.5.12-1.1 · openSUSE:Tumbleweed	Paket deposu (OSV)
opensuse:php8-embed	8.4.27-160000.1.1 · openSUSE:Leap 16.0	Paket deposu (OSV)
opensuse:php8-fastcgi	8.4.27-160000.1.1 · openSUSE:Leap 16.0	Paket deposu (OSV)
opensuse:php8-fpm	8.4.27-160000.1.1 · openSUSE:Leap 16.0	Paket deposu (OSV)
opensuse:php8-test	8.4.27-160000.1.1 · openSUSE:Leap 16.0	Paket deposu (OSV)
rocky linux:libzip	0:1.6.1-1.module+el8.10.0+1912+72767185 · Rocky Linux:8	Paket deposu (OSV)
rocky linux:libzip	0:1.7.3-1.module+el8.10.0+1605+02e07af7 · Rocky Linux:8	Paket deposu (OSV)
rocky linux:php	0:8.3.36-1.el10_2 · Rocky Linux:10	Paket deposu (OSV)
rocky linux:php-pear	1:1.10.13-1.module+el8.10.0+1912+72767185 · Rocky Linux:8	Paket deposu (OSV)
rocky linux:php-pear	1:1.10.14-1.module+el8.10.0+1911+f499711e · Rocky Linux:8	Paket deposu (OSV)
rocky linux:php-pecl-apcu	0:5.1.23-1.module+el9.7.0+40005+715283ec · Rocky Linux:9	Paket deposu (OSV)

+23

İstismar durumu

Silahlaştırılmış

Bu zafiyet için hazır bir istismar aracı ya da sahada aktif kullanım biliniyor. Önceliğiniz en üst düzeyde olmalı.

Kanıt

Nuclei tespit şablonu ×1
GitHub’da kavram kanıtı deposu ×23

Noroxi istismar kodu barındırmaz ve istismar bağlantısı vermez. Metasploit modül adı ve Nuclei şablon kimliği gösterilir (kod değil, ad); Exploit-DB kayıtları ve PoC depoları yalnızca sayı olarak verilir.

Kamuya açık istismar kanıtı
Kaynak	Tür	Tarih
Nuclei tespit şablonu	Nuclei şablonu CVE-2026-109618	—
GitHub’da kavram kanıtı deposu	stars:1	2026-10-21
GitHub’da kavram kanıtı deposu	stars:0	2026-10-21
GitHub’da kavram kanıtı deposu	stars:0	2026-10-21
GitHub’da kavram kanıtı deposu	stars:5	2026-10-21
GitHub’da kavram kanıtı deposu	stars:2	2026-10-21
GitHub’da kavram kanıtı deposu	stars:4	2026-10-21
GitHub’da kavram kanıtı deposu	stars:0	2026-10-21
GitHub’da kavram kanıtı deposu	stars:0	2026-10-21
GitHub’da kavram kanıtı deposu	stars:0	2026-10-21
GitHub’da kavram kanıtı deposu	stars:1	2026-10-22
GitHub’da kavram kanıtı deposu	stars:0	2026-10-22

Araştırma bağlamı

Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.

Zaman çizelgesi

Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.

İlk kavram kanıtı21 Eki 2026-1 gün
Yayın21 Eki 2026
Düzeltme kaydı21 Eki 2026aynı gün
CISA KEV26 Eki 2026+4 gün
Bugün29 Eki 2026+8 gün

EPSS son 120 gün7 günde +%94

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Yama ve commit bağlantıları

Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.

Referanslarda commit ya da PR bağlantısı yok.

Kredi

Tüm araştırmacılar

CNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıklayın, aynı araştırmacının diğer kayıtlarını görün.

Wizbildiren
RyanCalif.iobildiren
OpenAIbildiren
Arnaud Le Blancdüzeltme geliştirici
Ilija Tovilodüzeltme geliştirici
Jakub Zelenkadüzeltme geliştirici
Nora Dosschedüzeltme geliştirici

Varyant adayları

Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.

CVE-2026-1096180 gün araylaRCE via OOM corruptionKEV
96Hemen
CVE-2026-6722164 gün araylaUse-After-Free in SOAP using Apache map
38İzleyin
CVE-2026-7261164 gün araylaSoapServer session-persisted object use-after-free via SOAP header fault
25İzleyin

Zincir adayları

Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.

—

Bug bounty kapsamı

Bilinen herkese açık program yok.

Kaynak: bounty-targets-data (HackerOne, Bugcrowd, Intigriti, YesWeHack herkese açık listeleri).

Ulusal bildirim (Siber Güvenlik Başkanlığı / USOM)

Bu kaydı anan resmi güvenlik bildirimleri; çözüm önerisi kurumun sayfasında.

TR-26-1372 · 21 Eki 2026(PHP Programlama Dili Güvenlik Bildirimi)

Tüm ulusal bildirimler →

Noroxi'nin yazısı

Bu kaydı ele alan blog yazımız: etki, sitenizde kontrol ve yükseltme adımları.

CVE-2026-109618: PHP'de hesapsız uzaktan kod çalıştırma. Siteniz etkileniyor mu?

Teknik detay

Saldırı koşulları

İnternetten erişebilen herkes tetikleyebilir.
Hesap ya da parola gerekmez.
Kullanıcının bir şey yapması gerekmez.
Zamanlama ya da yapılandırma gibi özel koşullar gerekir.

Başarılı olursa

Gizlilik
Bütünlük
Erişilebilirlik

Saldırı vektörü: Ağ
Karmaşıklık: Yüksek
Gereken yetki: Yok
Kullanıcı etkileşimi: Gerekmez
Kapsam: X

Zayıflık sınıfı (CWE)

CWE-416 · Use After Free

CVSS vektörü

CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

nvd-secondary

Kök neden

Bir bellek alanı serbest bırakıldıktan sonra ona işaret eden başka bir referans kullanılmaya devam ediyor. Aynı alan o sırada başka bir veri için ayrılmış olabilir.

Hatanın kod karşılığı

CWE-416 sınıfının tamamı

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

Hatalı

1free(dev->buf);
2/* ... başka bir iş parçacığı hâlâ çalışıyor ... */
3process(dev->buf);

Düzeltilmiş

1lock(&dev->lock);
2free(dev->buf);
3dev->buf = NULL;
4unlock(&dev->lock);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.

Bu CWE için MITRE'de CAPEC/ATT&CK eşlemesi yok.

Değişiklik günlüğü

SSVC sömürünone → active27 Eki 2026 14:07 UTC
İstismar olgunluğupoc → weaponized27 Eki 2026 02:07 UTC
KEV✗ → ✓27 Eki 2026 02:07 UTC
İstismar olgunluğunone → poc22 Eki 2026 03:35 UTC
SSVC sömürü— → none21 Eki 2026 16:07 UTC
İstismar olgunluğu— → none21 Eki 2026 15:09 UTC
Düzeltme✗ → ✓21 Eki 2026 15:09 UTC

Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →

Referanslar

github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

Tüm referansları göster (16 daha)

Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.

Tüm kayıtlar

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Bu ürünü kullanıyoruz, yardım isteyin

Veri kaynakları ve doğrulama

CNA: php

CVE.org (CNA)28 Eki 2026 03:55 UTC
CISA ADP28 Eki 2026 03:55 UTC
NVD28 Eki 2026 04:17 UTC
CISA KEV27 Eki 2026 02:07 UTC
FIRST EPSS27 Eki 2026 00:00 UTC
OSV / GHSA29 Eki 2026 03:18 UTC
Nuclei29 Eki 2026 03:18 UTC
PoC-in-GitHub29 Eki 2026 03:18 UTC

Her satır, o kaynağın bu kayıt için son işlendiği zamandır.

CVE-2026-109619: RCE via stale global state

Noroxi değerlendirmesi

Bu kayıt değişirse haber alın

CVE-2026-109619 kaydını takip edin

Sizin ortamınızda ne anlama geliyor?

Etkilenen sistemler

Sürümünüz etkileniyor mu?

php için yeni CVE'leri izleyin

Etkilenen sürümler

Üreticinin bildirdiği sürümler

Paket düzeyi etkilenme

Aynı üründe

Düzeltme

Hangi sürüme geçmeli

İstismar durumu

Araştırma bağlamı

Zaman çizelgesi

Yama ve commit bağlantıları

Kredi

Varyant adayları

Zincir adayları

Ulusal bildirim (Siber Güvenlik Başkanlığı / USOM)

Noroxi'nin yazısı

Teknik detay

Saldırı koşulları

Başarılı olursa

Kök neden

Hatanın kod karşılığı

Saldırı bağlamı

Değişiklik günlüğü

Referanslar