Web sitelerinin altyapısında yaygın olarak kullanılan PHP, peş peşe ortaya çıkan güvenlik açıklarıyla gündeme geldi. PHP2Shell olarak adlandırılan iki kritik güvenlik açığına yönelik yamaların yayımlanmasının ardından yazılımda yeni bir güvenlik sorunu daha tespit edildi.
TGRT Haber'in aktardığı bilgilere göre CVE-2026-115560 koduyla takip edilen yeni açık, belirli yapılandırmalara sahip PHP uygulamalarında uzaktan kod çalıştırılmasına imkân tanıyabiliyor.
Ancak güvenlik sorununun kullanılabilmesi için birden fazla özel koşulun aynı anda gerçekleşmesi gerekiyor. PHP geliştiricileri, bu nedenle açığın bütün PHP sunucularını aynı ölçüde etkilemediğini belirtiyor.
PHP'deki Yeni Güvenlik Açığı Nedir?
CVE-2026-115560 numarasıyla takip edilen güvenlik açığı, PHP'nin oturum yönetiminde kullanılan "session upload progress" özelliğiyle bağlantılı.
Bu özellik, kullanıcıların web uygulamalarına dosya yüklerken işlemin ilerleme durumunu takip etmesini sağlıyor. PHP'de varsayılan olarak etkin olan özellik, belirli oturum yönetimi ayarlarıyla birlikte kullanıldığında güvenlik riski oluşturabiliyor.
Geliştiricilerin açıklamalarına göre güvenlik açığından yararlanılabilmesi için uygulamanın özel bir yapılandırmaya sahip olması gerekiyor.
Güvenlik Açığı Hangi PHP Sunucularını Etkiliyor?
Yeni güvenlik açığının ortaya çıkabilmesi için üç koşulun aynı anda gerçekleşmesi gerekiyor.
İlk olarak session.serialize_handler ayarının php_binary veya php_serialize değerlerinden biriyle yapılandırılmış olması gerekiyor.
İkinci olarak bu ayarın, session_start() işlevi çalıştırılmadan önce ini_set() aracılığıyla php değerine değiştirilmesi gerekiyor.
Son olarak dosya yükleme işleminin ilerleme durumunu takip eden "session upload progress" özelliğinin etkin olması şartı bulunuyor.
PHP geliştiricileri, bu koşulların gerçek uygulamalarda aynı anda karşılanma ihtimalinin düşük olduğunu ifade ediyor. Çalışma sırasında oturum serileştirme yöntemini değiştirmeyen uygulamalar ise söz konusu saldırı yönteminden etkilenmiyor.
PHP'den Acil Güncelleme Yerine Geçici Önlem
PHP2Shell açıkları için acil güvenlik yamaları yayımlanmasına rağmen yeni tespit edilen sorun için aynı yöntem uygulanmayacak.
Geliştiriciler, açığın yalnızca özel koşullarda ortaya çıkması nedeniyle acil bir güvenlik güncellemesi hazırlamayı planlamıyor.
Bunun yerine sistem yöneticilerine, güvenlik sorunu giderilene kadar ilgili özelliği devre dışı bırakmaları öneriliyor.
PHP yapılandırmasında kullanılabilecek ayar şöyle:
session.upload_progress.enabled=0
Bu ayar, dosya yükleme ilerlemesini takip eden özelliği kapatarak söz konusu güvenlik açığının kullanılmasını önlemeyi amaçlıyor.
PHP'nin 21 Ekim'de yayımladığı önceki güvenlik duyurusunda da PHP2Shell açıklarından biri için aynı önlem tavsiye edilmişti.
Bu nedenle özelliği daha önce kapatan ve kapalı tutmaya devam eden sistem yöneticilerinin yeni açık için ayrıca aynı işlemi tekrarlamasına gerek bulunmuyor.
PHP Güvenlik Açığı Hangi Sürümleri Etkiliyor?
Yeni güvenlik açığının PHP'nin hangi sürümlerini etkilediği henüz açıklanmadı.
Geliştiriciler, CVE-2026-115560 numaralı sorunu bir sonraki olağan hata düzeltme sürümünde gidermeyi planlıyor.
Ancak güvenlik düzeltmesinin hangi PHP sürümüyle kullanıma sunulacağına ilişkin henüz kesin bir bilgi paylaşılmadı.
