Güvenlik güncellemesi: SmartClass, Ekim 2026 PHP güvenlik düzeltmelerini uyguladı

Ekim 2026 güvenlik güncellemesi

Okulların, ailelerin ve öğrencilerin SmartClass’a emanet ettiği bilgileri korumak ilk sorumluluğumuzdur. Bu duyuruda, PHP projesinin 21 Ekim 2026’da duyurduğu güvenlik sorununu, bunun SmartClass için ne anlama geldiğini ve bu konuda tam olarak neler yaptığımızı açıklıyoruz.

Kısaca

• PHP projesi, PHP’deki iki kritik güvenlik açığı hakkında bir güvenlik bildirimi yayımladı ve aynı gün düzeltilmiş sürümleri kullanıma sundu.
• PHP çalıştıran tüm SmartClass sunucuları artık her iki açığı da gideren resmî sürüm olan PHP 8.3.36’yı kullanıyor.
• Bildirimde önerilen koruyucu ayarları da ekledik ve bunları ek bir koruma katmanı olarak kullanmaya devam ediyoruz.
• Herhangi bir şey yüklemeniz, bir ayarı değiştirmeniz veya SmartClass mobil uygulamasını güncellemeniz gerekmiyor.

Ne oldu?

PHP, dünyadaki web sitelerinin büyük bir bölümünde kullanılan yaygın bir programlama dilidir. SmartClass, sunucularında web uygulaması, programlama arayüzü (API) ile bildirimler ve zamanlanmış görevler gibi arka plan hizmetleri için PHP kullanır.

CVE-2026-109618 ve CVE-2026-109619 olarak kayıt altına alınan bu iki açık, SmartClass’ın kendi kodunda değil PHP’nin kendisinde bulunuyor ve dünyanın her yerindeki PHP kurulumlarını etkiliyor. Belirli koşullar altında, etkilenen bir sunucuya özel olarak hazırlanmış bir istek gönderilmesi, saldırganın oturum açmadan o sunucuda kendi kodunu çalıştırmasına olanak tanıyabilir. PHP projesi bu açıkları kritik olarak sınıflandırdı ve PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde giderdi.

Neler yaptık?

1. Önerilen koruyucu ayarları ekledik

Bildirimin yayımlandığı gün, PHP projesinin önerdiği yapılandırma değişikliklerini sunucu yapılandırmamıza ekledik:

• Oturum yükleme ilerlemesi takibini (session upload progress) kapattık. SmartClass bu PHP özelliğini kullanmıyor ve bildirim, bu özelliği açıklardan birine ulaşan bir yol olarak gösteriyor. Bu ayar ana PHP yapılandırmasının bir parçası olduğu için her istek işlenmeden önce geçerli olur.
• Sunucuların kabul ettiği tek bir dosyanın en büyük boyutunu, bildirimde önerildiği gibi toplam istek boyutu sınırının altında kalması için 20 MB’tan 16 MB’a düşürdük.

2. Tüm sunucuları düzeltilmiş PHP sürümüne güncelledik

Ardından PHP çalıştıran tüm SmartClass sunucularını, SmartClass’ın kullandığı PHP sürüm serisinin düzeltilmiş sürümü olan PHP 8.3.36’ya güncelledik. Bu güncelleme, hizmetin PHP çalıştıran her bölümünü kapsıyor:

• SmartClass web uygulamasını ve API’sini çalıştıran sunucular;
• aynı güncellenmiş sunucularda çalışan klasik SmartClass sayfaları;
• bildirim ve mesaj gönderen, zamanlanmış görevleri yürüten arka plan hizmetleri.

Sunucularımızı oluşturduğumuz yapılandırma, genel bir “en son 8.3” etiketi yerine tam sürümü, yani 8.3.36’yı belirtiyor. Bundan sonra oluşturacağımız her sunucu düzeltilmiş sürümü alır ve daha eski bir sürüm yanlışlıkla kurulamaz.

3. Aynı sürümle test ediyoruz

SmartClass API güncellemeleri için çalışan otomatik kontrollerimiz de aynı PHP 8.3.36 sürümünü kullanıyor. Böylece müşterilerimizin kullandığı sürüm, test ettiğimiz sürümle aynıdır.

4. Eski bir PHP sürümünü kullanımdan kaldırdık

Ekibimizin klasik sayfalar için şirket içinde kullandığı PHP 7.4 ortamını da kullanımdan kaldırdık. Müşterilerimiz için bu sayfalar zaten güncellenmiş sunucularda çalışıyordu; bu değişiklikle geliştirme ve test ortamlarımız da aynı düzeltilmiş sürümü kullanıyor.

Bu sizin için ne anlama geliyor?

SmartClass barındırılan bir hizmet olduğu için güncelleme sunucularımızda yapıldı ve tüm okullar için şu anda geçerli. Şunları yapmanız gerekmiyor:

• bilgisayarınıza herhangi bir şey yüklemek;
• SmartClass mobil uygulamasını güncellemek (uygulama, telefonunuzda veya tabletinizde PHP çalıştırmaz);
• herhangi bir SmartClass ayarını değiştirmek.

SmartClass eskisi gibi çalışıyor. Fark edebileceğiniz tek değişiklik, tek bir yüklenen dosya için getirilen yeni 16 MB sınırıdır; bu sınır yalnızca daha önce daha büyük dosyaları kabul eden birkaç yerde geçerlidir.

Güvenlik taahhüdümüz

SmartClass’ın dayandığı yazılımlarla ilgili güvenlik bildirimlerini takip ediyor ve düzeltmeleri hızla uyguluyoruz. PHP projesi 23 Ekim 2026’da, bir sonraki olağan sürüme kadar oturum yükleme ilerlemesi takibinin kapalı tutulmasını öneren ek bir not yayımladı. Bu ayar yukarıda açıklanan değişikliklerin zaten bir parçasıydı; bu nedenle ek bir değişiklik gerekmedi.

PHP projesinin asıl güvenlik bildirimine (İngilizce) PHP haber arşivinden ulaşabilirsiniz.

Bu güncellemeyle ilgili sorularınız varsa veya hesabınızda olağan dışı bir durum fark ederseniz lütfen kurumunuzla ya da SmartClass Destek ile iletişime geçin.