Cloudflare, PHP’de ortaya çıkan iki kritik güvenlik açığı (CVE-2026-109618 ve CVE-2026-109619) için hem ücretsiz hem de ücretli planları kapsayan koruma kurallarını aktif hâle getirdi. Şirketin php2shell açıklamasına göre, bu önlemler açıkların kamuoyuna duyurulmasından yaklaşık dokuz saat önce devreye alınmış.
Koruma, yalnızca sunucuya gelen isteği incelemekle kalmayıp aynı bağlantı üzerinden sunucunun ürettiği yanıtı da değerlendiriyor. Şüpheli bir isteğin gerçek hassas veri döndürmesiyle arasındaki farkı tespit ederek, yanıt istemciye ulaşmadan durdurabiliyor. Cloudflare, müşterilerini hedef alan saldırı trafiği gözlemlediğini ve saldırganların korumayı aşmak için yüklerini değiştirdiğini belirtiyor; ancak kaç sitenin ele geçirildiğine dair bir bilanço sunulmadı.
PHP ekibi, web isteği işleyen tüm PHP kurulumlarını risk kapsamında sayıyor. Bu kapsamda PHP‑FPM, Apache mod_php, php‑cgi, FrankenPHP ve LiteSpeed gibi ortamlar yer alıyor. Özellikle mod_php’nin, uygulamanın kendi kodu çalışmadan saldırının tetiklenebildiği gösterildiği için riskli olduğu vurgulanıyor. Açıkların bir WordPress eklentisinden kaynaklanmadığı, dolayısıyla sadece içerik yönetim sistemini ya da eklentileri güncellemenin sorunu çözmeyeceği belirtiliyor.
CVE‑2026‑109618, bellek yetersizliği sırasında oluşan bozulmayla, CVE‑2026‑109619 ise serbest bırakılan belleğin eski durum bilgisinin yeniden kullanılmasıyla ilişkili. PHP projesi, 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini öneriyor; eski sürümler için bazı dağıtımlar geriye uyarlanmış yamalar sağlayabiliyor. Sunucu yöneticilerinin, kullandıkları dağıtım paketlerini ve barındırma sağlayıcılarının duyurularını kontrol etmeleri gerekiyor.
Cloudflare’nin ücretsiz WAF kuralları otomatik olarak çalışıyor. Ücretli plan kullanıcılarından ise yönetilen kuralların engelleme modunda olduğunun teyit edilmesi isteniyor. Şirket, engellenen istekleri incelemek isteyen yöneticileri güvenlik analitiği ekranına yönlendiriyor; kural kimlikleriyle filtreleme yaparak hangi isteğin hangi işlemle durduğunu gösteriyor. Bu kayıtlar, korumanın uygulamanın hangi bölümlerinde devreye girdiğini anlamaya yardımcı oluyor.
Sonuç olarak, Cloudflare’in ek koruma katmanı saldırı yollarını daraltırken, kalıcı çözüm için PHP’nin güncellenmesi hâlâ zorunlu.
