PHP’de Yeni RCE Açığı İçin Yama Bekleniyor: Geçici Çözüm Oturum Özelliğini Kapatmak

PHP geliştiricileri, dosya yükleme ilerlemesini izleyen oturum mekanizmasında ortaya çıkan güvenlik açığı için geçici koruma adımlarını açıkladı. 23 Ekim 2026 tarihli duyuruya göre sorun, yalnızca alışılmışın dışında bazı yapılandırmaların aynı anda kullanılması halinde tetiklenebiliyor. Bu nedenle ekip, acil güncelleme yerine açığı bir sonraki olağan hata düzeltme sürümünde gidermeyi planlıyor.

CVE-2026-115560’ın çalışabilmesi için session.serialize_handler seçeneğinin php_binary veya php_serialize olarak ayarlanması, uygulamanın çalışma sırasında ini_set() ile bu değeri php olarak değiştirmesi ve bunun session_start() çağrısından önce gerçekleşmesi gerekiyor. Ayrıca dosya yükleme ilerlemesini oturum verileriyle izleyen session.upload_progress.enabled özelliğinin etkin olması şart. Oturum serileştirme yöntemini çalışma sırasında değiştirmeyen sistemlerin bu saldırı yolundan etkilenmediği belirtildi.

Önerilen geçici önlem, PHP yapılandırmasında session.upload_progress.enabled=0 değerini kullanarak dosya yükleme ilerlemesi izleme özelliğini devre dışı bırakmak. Cloudflare da 23 Ekim’de yaptığı bilgilendirmede, mevcut web uygulaması güvenlik duvarı kurallarının bilinen saldırı girişimlerini engellediğini duyurdu; ancak bu koruma, PHP’nin varsayılan dosya yükleme ilerleme alanı adını kullanan uygulamalarla sınırlı.

Yeni açık, 21 Ekim’de ortaya çıkan PHP2Shell olarak bilinen iki kritik sorundan ayrı değerlendiriliyor. CVE-2026-109618 ve CVE-2026-109619 için yayımlanan 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri CVE-2026-115560’ı kapsamıyor. Önceki açıklarla ilgili tarama ve istismar girişimleri görülmüş, ancak başarılı uzaktan kod çalıştırıldığı doğrulanmamıştı; yeni açığın aktif saldırılarda kullanıldığına ilişkin de henüz rapor bulunmuyor.

Kaynak: ShiftDelete