PHP dünyasında kritik güncellemelerin yayımlanmasından kısa bir mühlet sonra yeni bir PHP güvenlik açığı daha tespit edildi. CVE-2026-115560 koduyla takip edilen bu yeni açık, uzaktan kod çalıştırma (RCE) riski taşıması sebebiyle dikkatleri üzerine çekiyor.

Söz konusu güvenlik açığı, muhakkak oturum yapılandırmalarına sahip web uygulamalarını direkt etkiliyor. PHP geliştiricileri, şimdi bir güvenlik yaması bulunmayan bu durum için süreksiz muhafaza metotlarını kullanıcılarla paylaştı.

CVE-2026-115560 Güvenlik Açığının Teknik Detayları

PHP grubu tarafından 23 Ekim 2026 tarihinde yayımlanan resmi duyuru, evrak yükleme süreçlerinin ilerlemesini takip eden oturum sisteminde bir uzaktan kod çalıştırma riski bulunduğunu ortaya koydu. Fakat bu güvenlik açığının kullanılabilmesi için uygulamanın hayli alışılmışın dışında bir yapılandırmaya sahip olması gerekiyor.

Bu özel durum sebebiyle PHP grubu, sorunu acil bir güncelleme yerine bir sonraki olağan kusur düzeltme sürümüyle gidermeyi planlıyor. Yeni güvenlik açığı, 21 Ekim tarihinde ortaya çıkan ve PHP2Shell olarak bilinen iki kritik güvenlik meselesinden büsbütün başka bir başlık olarak bedellendiriliyor.

CVE-2026-109618 ve CVE-2026-109619 kodlu evvelki açıklar, kimlik doğrulaması gerektirmeden sunucuda uzaktan kod çalıştırılmasına imkan tanıyordu. PHP, bu sıkıntıları gidermek maksadıyla 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini süratli bir halde yayımladı. Fakat bu güncellemeler, yeni keşfedilen CVE-2026-115560 açığını kapatma özelliğine sahip değil.

Yeni açığın tetiklenmesi için uygulamanın oturum bilgilerini sürece biçiminde muhakkak şartların birebir anda gerçekleşmesi kural. Birinci olarak session.serialize_handler yapılandırma seçeneğinin php_binary yahut php_serialize bedellerinden birine ayarlanmış olması gerekiyor. Akabinde uygulamanın çalışırken ini_set() işlevini kullanarak bu kıymeti php olarak değiştirmesi ve sürecin session_start() davetinden evvel gerçekleşmesi kritik bir ehemmiyet taşıyor.

Güvenlik Önlemleri ve WAF Durumu

Bu şartlara ek olarak PHP’nin belge yükleme ilerlemesini takip eden session.upload_progress.enabled özelliğinin de faal olması gerekiyor. Varsayılan olarak aktif gelen bu özellik, bir belgenin sunucuya yüklenme durumunun oturum bilgileri üzerinden izlenmesini sağlıyor.

PHP geliştiricileri, oturum serileştirme prosedürünü uygulama çalışırken değiştirmeyen sistemlerin bu hücum yolundan etkilenmediğini açıkladı. Kelam konusu yapılandırma birleşiminin pratikte ender görülmesi sebebiyle yeni güvenlik açığı için harikulâde bir güncelleme yayımlanmayacak.

Güvenlik açığı için önerilen süreksiz tedbir, PHP yapılandırmasında session.upload_progress.enabled=0 kıymetinin kullanılmasıdır. Bu değişiklik, belge yükleme ilerlemesini takip eden oturum özelliğini büsbütün devre dışı bırakıyor.

Cloudflare ise 23 Ekim’de yayımladığı ek bilgilendirmede, mevcut web uygulaması güvenlik duvarı (WAF) kurallarının yeni açığa yönelik bilinen akın teşebbüslerini engellediğini duyurdu. Fakat bu muhafaza, PHP’nin varsayılan evrak yükleme ilerleme alanı ismini kullanan uygulamalar için geçerli kalıyor.

Siber saldırganların evvelki iki güvenlik açığını kullanarak sunuculara Mirai botnet ailesinden Potassium isimli ziyanlı yazılımı yüklemeye çalıştığı tespit edilmişti. Güvenlik araştırmalarında tarama ve istismar denemeleri tespit edilse de, bu açıklar üzerinden başarılı bir uzaktan kod çalıştırıldığına ait doğrulanmış bir bulgu bulunmuyor. Yeni CVE-2026-115560 açığının faal taarruzlarda kullanıldığına ait de şimdi bir rapor yayımlanmadı. Sizce PHP takımının bu çeşit açıklar karşısında izlediği güncelleme stratejisi gereğince inançlı mi?

Kaynak: Shiftdelete