PHP’de Yeni Güvenlik Açığı Ortaya Çıktı: Henüz Yaması Yok

PHP’de kritik güvenlik açıklarını kapatan acil güncellemelerin yayımlanmasından yalnızca iki gün sonra yeni bir uzaktan kod çalıştırma (RCE) riski ortaya çıktı. CVE-2026-115560 koduyla takip edilen güvenlik açığı, belirli oturum yapılandırmalarını kullanan web uygulamalarını etkiliyor. PHP geliştiricileri, henüz güvenlik yaması bulunmayan açık için geçici bir koruma yöntemi paylaştı.

PHP tarafından 23 Ekim 2026’da yayımlanan güvenlik duyurusu, dosya yükleme işlemlerinin ilerlemesini takip eden oturum mekanizmasında yeni bir uzaktan kod çalıştırma riski bulunduğunu ortaya koydu.

Ancak güvenlik açığının kullanılabilmesi için uygulamanın alışılmışın dışında bir yapılandırmaya sahip olması gerekiyor. Bu nedenle PHP ekibi, sorunu acil bir güncelleme yerine bir sonraki olağan hata düzeltme sürümüyle giderecek.

Yeni güvenlik açığı, 21 Ekim’de ortaya çıkan ve PHP2Shell adıyla bilinen iki kritik güvenlik sorunundan ayrı olarak değerlendiriliyor. CVE-2026-109618 ve CVE-2026-109619 kodlu önceki açıklar, kimlik doğrulaması gerektirmeden sunucuda uzaktan kod çalıştırılmasına olanak sağlayabiliyor. PHP, bu sorunları gidermek için 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. Ancak söz konusu güncellemeler, yeni keşfedilen CVE-2026-115560 açığını kapatmıyor.

Yeni açığın ortaya çıkması için uygulamanın oturum verilerini işleme biçiminde belirli koşulların aynı anda gerçekleşmesi gerekiyor. İlk olarak session.serialize_handler yapılandırma seçeneğinin php_binary veya php_serialize değerlerinden birine ayarlanmış olması gerekiyor. Ardından uygulamanın çalışırken ini_set() fonksiyonunu kullanarak bu değeri php olarak değiştirmesi ve işlemin session_start() çağrısından önce gerçekleşmesi gerekiyor.

Bu koşullara ek olarak PHP’nin dosya yükleme ilerlemesini takip eden session.upload_progress.enabled özelliğinin de açık olması gerekiyor. Varsayılan olarak etkin gelen bu özellik, bir dosyanın sunucuya yüklenme durumunun oturum verileri üzerinden izlenmesini sağlıyor. Uygulamalar, özellikle dosya yükleme sırasında ilerleme bilgisini göstermek için bu mekanizmadan yararlanabiliyor.

PHP geliştiricileri, oturum serileştirme yöntemini uygulama çalışırken değiştirmeyen sistemlerin bu saldırı yolundan etkilenmediğini açıkladı. Söz konusu yapılandırma birleşiminin pratikte nadir görülmesi nedeniyle yeni güvenlik açığı için olağanüstü güncelleme yayımlanmayacak. Bununla birlikte, gerekli koşulların oluştuğu uygulamalarda uzaktan kod çalıştırma riski bulunuyor.

Güvenlik açığı için önerilen geçici önlem, PHP yapılandırmasında session.upload_progress.enabled=0 değerinin kullanılması. Bu değişiklik, dosya yükleme ilerlemesini takip eden oturum özelliğini devre dışı bırakıyor.

Aynı ayar, 21 Ekim’de CVE-2026-109619 için yayımlanan güvenlik duyurusunda da geçici koruma yöntemi olarak paylaşılmıştı. Önceki uyarının ardından özelliği kapatan sistem yöneticilerinin yeni açık için aynı işlemi tekrar yapması gerekmiyor.

PHP ekibi, CVE-2026-115560 için henüz etkilenen sürümlerin tam listesini veya CVSS önem derecesini açıklamadı. Güvenlik açığının hangi sürüm numaralarında giderileceği de kesinleşmedi.

Sorunun teknik ayrıntılarını içeren kapsamlı güvenlik duyurusu, düzeltmenin yer alacağı bir sonraki düzenli sürümle birlikte yayımlanacak. Yeni açığın, CVE-2026-109619 ile aynı temel teknik nedenden kaynaklanıp kaynaklanmadığı da henüz açıklığa kavuşmadı.

Cloudflare ise 23 Ekim’de yayımladığı ek bilgilendirmede, mevcut web uygulaması güvenlik duvarı (WAF) kurallarının yeni açığa yönelik bilinen saldırı girişimlerini de engellediğini duyurdu.

Ancak bu koruma, PHP’nin varsayılan dosya yükleme ilerleme alanı adını kullanan uygulamalar için geçerli. session.upload_progress.name yapılandırmasını değiştiren uygulamalar, ilgili WAF kuralının koruma kapsamına girmiyor.

Öte yandan 21 Ekim’de yamalanan PHP2Shell açıklarına yönelik saldırı girişimleri devam ediyor. Amazon’un saldırıları gözlemlemek için kullandığı tuzak sistemlerde, güvenlik açıklarının kamuoyuna açıklanmasından dört gün önce, 17 Ekim’de istismar girişimleri kaydedildi. Cloudflare’ın verilerinde ise 21 Ekim’deki açıklamadan sonraki ilk 45 dakika içinde on binlerce saldırı girişimi görülürken, 22 Ekim’in ilk saatlerinde bu sayı milyonlara ulaştı.

Siber saldırganların önceki iki güvenlik açığını kullanarak sunuculara Mirai botnet ailesinden Potassium adlı zararlı yazılımı yüklemeye çalıştığı da tespit edildi. Sophos ve Arctic Wolf tarafından incelenen girişimlerde başarılı bir zararlı yazılım yerleştirme işlemi doğrulanmadı.

Güvenlik araştırmalarında tarama ve istismar denemeleri tespit edilse de bu açıklar üzerinden başarılı uzaktan kod çalıştırıldığına ilişkin doğrulanmış bir bulgu bulunmuyor. Yeni CVE-2026-115560 açığının aktif saldırılarda kullanıldığına ilişkin de henüz bir rapor yayımlanmadı.

1996 yılında Üsküdar’da doğan Mert Can Aka, sinema, bilim, teknoloji ve tarih alanlarına duyduğu ilgiyle şekillenen kariyerinde teknoloji editörlüğüne odaklandı. Öğrenmeyi ve bilgiyi aktarmayı merkeze alan Aka, farklı kurumlarda çeşitli görevler üstlendi. Bu süreçte MediaMarkt’ın MediaTrend Teknolojik Yaşam dergisini son sayısına kadar yöneterek dergicilik tarafında da deneyim kazandı. Bilgisayar Mühendisliği, Bilgisayar Programcılığı, Web Tasarım ve Kodlama ile birlikte Adalet ve İktisat alanlarında akademik geçmişe sahip olan Aka, bugün Technopat’ta Yazı İşleri Müdürü olarak görev yapıyor. Otomotivden yapay zekaya, donanımdan ev teknolojilerine uzanan geniş bir yelpazede ürettiği on bini aşkın içerik yüz milyonlarca okura ulaştı.

Kaynak: Technopat