PHP2Shell Açıkları (CVE-2026-109618 ve CVE-2026-109619): Zimbra Etkileniyor mu?

PHP çalışma ortamında yakın zamanda açıklanan PHP2Shell güvenlik açıkları (CVE-2026-109618 ve CVE-2026-109619), PHP kullanan pek çok sistemi etkilediği için gündemde. Müşterilerimizden gelen soruları yanıtlamak amacıyla, bu açıkların Zimbra Collaboration Suite (ZCS) üzerindeki etkisini ve almanız önerilen önlemleri bu yazıda özetliyoruz.

Kısaca: Zimbra Dışarıdan İstismar Edilemez

Zimbra’nın yaptığı güvenlik değerlendirmesine göre ZCS, PHP2Shell açıkları üzerinden dışarıdan istismar edilemez. Zimbra’nın çekirdek ürünü ve platformu PHP kullanmaz. Web istemcisi, posta servisleri ve yönetim arayüzü bu açıklardan etkilenmez.

PHP Nerede Kullanılıyor?

Zimbra paketinde yer alan bir PHP bileşeni, yalnızca dahili yazım denetimi (spell-check) servisi tarafından kullanılıyor. Bu servis:

• Sunucu içinde çalışan dahili bir servistir,
• İnternetten erişilebilir değildir,
• Zimbra güvenlik ekibi tarafından Düşük Risk olarak değerlendirilmiştir.

Zimbra, PHP’nin resmi (upstream) düzeltmesini Aralık 2026‘da yayımlanması planlanan bir sonraki sürüme dahil edecek.

Önerilen Önlem: Yazım Denetimi Servisini Durdurun

Risk düşük olsa da Zimbra, ihtiyat amacıyla yazım denetimi servisinin devre dışı bırakılmasını öneriyor. E-posta yöneticileri bunu sunucuda zimbra kullanıcısıyla aşağıdaki komutu çalıştırarak yapabilir:

su - zimbra
zmspellctl stop

Servis durdurulduğunda web istemcisindeki yazım denetimi özelliği de kullanılamaz hale gelir. Ayrıca servisler yeniden başlatıldığında yazım denetimi servisi tekrar çalışabilir. Servisi kalıcı olarak devre dışı bırakmak veya ortamınıza uygun adımları belirlemek için destek ekibimizle iletişime geçebilirsiniz.

Zimbra Topluluk Siteleri Yamalandı

Zimbra’nın PHP üzerinde çalışan birkaç herkese açık web sitesi, aralarında Zimbra Wiki ve Zimbra Forums da olmak üzere, yamalanmış durumda ve sorunsuz şekilde çalışmaya devam ediyor.

Özet

• ZCS, PHP2Shell açıkları (CVE-2026-109618, CVE-2026-109619) üzerinden dışarıdan istismar edilemez.
• Etkilenen tek bileşen, internete kapalı dahili yazım denetimi servisidir ve Düşük Risk olarak sınıflandırılmıştır.
• Kalıcı düzeltme, Aralık 2026’da planlanan sürümle gelecek.
• İhtiyat amacıyla zmspellctl stop ile yazım denetimi servisini durdurabilirsiniz.

Sunucunuzu güncel tutmak için son yama sürümlerini kaçırmayın: Zimbra 10.1.16 yama güncellemesi ve Zimbra 10.1.12 SSRF güvenlik yaması yazılarımıza göz atabilirsiniz. Diğer güvenlik duyuruları için Güvenlik & Gizlilik kategorimizi takip edin.

Zimbra e-posta çözümleri hakkında daha fazla bilgi almak veya destek talebi oluşturmak için [email protected] adresinden bizimle iletişime geçebilirsiniz.