Docker'dan PHP2Shell Açıkları İçin Acil Güncelleme Çağrısı

Docker, 20 Ekim 2026 tarihinde PHP çekirdeğini etkileyen ve "PHP2Shell" olarak adlandırılan iki kritik güvenlik açığını takibe aldı. CVE-2026-109618 ve CVE-2026-109619 numaralarıyla takip edilen bu açıklar, saldırganların PHP çekirdeğinde uzaktan kod çalıştırmasına olanak tanıyor. Güvenlik açıkları, sürüm 5.4'ten bu yana dağıtılan tüm PHP paketlerini etkiliyor.

Sorun, PHP'nin istek belleğini yönetme biçimindeki hatalardan kaynaklanıyor. İlk açık olan CVE-2026-109618, bellek tükenmesi durumunda temizlik adımının başlatılmamış belleği okumasıyla ortaya çıkıyor. İkinci açık CVE-2026-109619 ise dahili durumun serbest bırakılmış belleği işaret etmeye devam etmesi nedeniyle tetikleniyor. Saldırganlar bu durumları kötüye kullanarak uzaktan kod çalıştırabiliyor.

Etkilenen Sürümler ve Çözüm Adımları

Açıklar; aktif olarak desteklenen 8.2 ile 8.5 arasındaki sürümlerin yanı sıra, destek süresi sona eren 5.x, 7.x, 8.0 ve 8.1 sürümlerini de kapsıyor. PHP ekibi bu risklere karşı sırasıyla 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayınladı. Uzmanlar ve Docker, sistemlerin en kısa sürede güncellenmesini, güncelleme yapılamıyorsa sistemlerin çevrimdışı konuma getirilmesini öneriyor.

Docker, kendi altyapısında doğrudan bir güvenlik açığı bulunmadığını ancak PHP tabanlı uygulamalar kullanan müşterilerin risk altında olduğunu belirtti. Bu kapsamda Docker Hub üzerindeki Docker Official Images ve Docker Hardened Images sürümleri güncellenerek yayınlandı ve Amazon ECR'a yansıtıldı.