PHP'de Yeni Bir Güvenlik Açığı Ortaya Çıktı: CVE-2026-115560 Henüz Yamalanmadı
PHP'de kritik güvenlik açıklarının kapatılmasının ardından sadece iki gün sonra yeni bir uzaktan kod çalıştırma (RCE) riski belirdi. CVE-2026-115560 olarak adlandırılan bu açık, belirli oturum yapılandırmalarını kullanan web uygulamalarını etkiliyor ve henüz bir yaması bulunmuyor.
PHP ekosisteminde güvenlik endişeleri artmaya devam ediyor. 2026 yılının son çeyreğinde, daha önce kapatılan kritik güvenlik açıklarının ardından sadece iki gün gibi kısa bir süre içinde yeni bir uzaktan kod çalıştırma (RCE) riski ortaya çıktı. CVE-2026-115560 olarak takip edilen bu yeni güvenlik açığı, belirli oturum yapılandırmalarını kullanan web uygulamalarını hedef alıyor. PHP geliştiricileri, henüz bu açığı kapatacak bir güvenlik yaması yayınlamadı ancak geçici bir çözüm önerisi sundu.
PHP tarafından 23 Ekim 2026 tarihinde yapılan güvenlik duyurusuna göre, dosya yükleme işlemlerinin ilerlemesini takip eden oturum mekanizmasında bir uzaktan kod çalıştırma riski tespit edildi. Ancak bu açığın istismar edilebilmesi için PHP uygulamalarının alışılmışın dışında bir yapılandırmaya sahip olması gerekiyor. Bu özel durum nedeniyle PHP ekibi, sorunu acil bir güncelleme yerine bir sonraki planlı hata düzeltme sürümüyle gidermeyi hedefliyor. Bu durum, mevcut sistemlerin bir süre daha savunmasız kalabileceği anlamına geliyor.
Yeni keşfedilen CVE-2026-115560 açığı, 21 Ekim 2026'da ortaya çıkan ve PHP2Shell olarak bilinen iki kritik güvenlik sorunundan ayrı olarak değerlendiriliyor. Daha önceki bu açıklar (CVE-2026-109618 ve CVE-2026-109619), kimlik doğrulama gerektirmeden sunucuda uzaktan kod çalıştırılmasına olanak tanıyordu. PHP, bu sorunları gidermek amacıyla 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayınlamıştı. Ancak bu güncellemeler, yeni ortaya çıkan CVE-2026-115560 açığını kapatmıyor.
CVE-2026-115560'ın tetiklenmesi için PHP uygulamasının oturum verilerini işleme biçiminde belirli koşulların aynı anda gerçekleşmesi gerekiyor. İlk olarak, `session.serialize_handler` yapılandırma seçeneğinin `php_binary` veya `php_serialize` değerlerinden birine ayarlanmış olması şart. Ardından, uygulamanın çalışırken `ini_set()` fonksiyonunu kullanarak bu değeri `php` olarak değiştirmesi ve bu işlemin `session_start()` çağrısından önce gerçekleşmesi gerekiyor. Bu iki koşulun yanı sıra, PHP'nin dosya yükleme ilerlemesini takip eden `session.upload_progress.enabled` özelliğinin de etkin olması gerekiyor. Varsayılan olarak etkin olan bu özellik, bir dosyanın sunucuya yüklenme durumunu oturum verileri üzerinden izlemeye yarıyor ve uygulamalar genellikle dosya yükleme ilerlemesini göstermek için bu mekanizmadan faydalanıyor.
PHP geliştiricileri, oturum serileştirme yöntemini uygulama çalışırken değiştirmeyen sistemlerin bu saldırı vektöründen etkilenmediğini belirtiyor. Bu özel yapılandırma kombinasyonunun pratikte nadir görülmesi nedeniyle, yeni güvenlik açığı için olağanüstü bir güncelleme yayınlanmayacak. Bununla birlikte, gerekli koşulların oluştuğu uygulamalarda uzaktan kod çalıştırma riski devam ediyor. Güvenlik açığı için önerilen geçici önlem ise PHP yapılandırmasında `session.upload_progress.enabled=0` değerinin kullanılmasıdır. Bu değişiklik, dosya yükleme ilerlemesini takip eden oturum özelliğini devre dışı bırakarak açığın istismar edilmesini engelliyor. İlginç bir şekilde, aynı ayar daha önce 21 Ekim'de CVE-2026-109619 için de geçici koruma yöntemi olarak paylaşılmıştı.
