PHP’de Yeni CVE-2026-115560 Açığı: Uzaktan Kod Çalıştırma Riski ve Geçici Koruma Yöntemleri
PHP topluluğunu yeni bir uzaktan kod çalıştırma (RCE) açığı sarstı; CVE-2026-115560 henüz yama almadı, geliştiriciler ise session.upload_progress özelliğini devre dışı bırakmayı öneriyor.
PHP ekosistemi, kritik güncellemelerin ardından bir kez daha sarsıcı bir güvenlik sorunu ile karşı karşıya. 23 Ekim 2026’da resmi olarak duyurulan CVE-2026-115560 kodlu açık, belirli oturum yapılandırmalarına sahip web uygulamalarını uzaktan kod çalıştırma (RCE) riskiyle tehdit ediyor. Açığın keşfi, PHP’nin son sürümlerine (8.5.12, 8.4.27, 8.3.36 ve 8.2.35) yapılan hızlı yamaların ardından geldi ve hâlen bir yama yayımlanmadığı için geliştiriciler geçici önlemlerle durumu kontrol altına almaya çalışıyor.
PHP ekibi, dosya yükleme ilerlemesini izleyen oturum mekanizmasında bir zafiyet olduğunu belirtti. Açığın tetiklenebilmesi için üç ayrı koşulun aynı anda gerçekleşmesi gerekiyor: session.serialize_handler ayarının php_binary ya da php_serialize değerlerinden birine ayarlanmış olması, uygulamanın çalışma sırasında ini_set() fonksiyonuyla bu değeri php olarak değiştirmesi ve bu değişikliğin session_start() çağrısından önce yapılması. Üçüncü koşul ise session.upload_progress.enabled özelliğinin aktif olması; bu özellik, dosya yükleme sürecini oturum verileri üzerinden izlemeye yarar ve varsayılan olarak açıktır.
Bu teknik detaylar, açığın pratikte çok nadir bir konfigürasyona sahip sistemlerde ortaya çıkabileceğini gösteriyor. PHP geliştiricileri, oturum serileştirme yöntemini çalışma sırasında değiştirmeyen uygulamaların bu saldırı vektöründen etkilenmediğini vurguladı. Bu nedenle, PHP ekibi yeni bir acil yama yerine, bir sonraki olağan hata düzeltme sürümünde sorunu gidermeyi planlıyor. Açık, 21 Ekim 2026’da ortaya çıkan ve "PHP2Shell" olarak adlandırılan iki kritik güvenlik sorunu (CVE-2026-109618 ve CVE-2026-109619) ile aynı çerçevede değerlendirilse de, teknik olarak tamamen ayrı bir başlık olarak ele alınıyor.
Geçici bir koruma yöntemi olarak, PHP yapılandırma dosyasında session.upload_progress.enabled=0 satırının eklenmesi öneriliyor. Bu değişiklik, dosya yükleme ilerleme takibini devre dışı bırakarak saldırı yüzeyini ortadan kaldırıyor. Ayrıca, Cloudflare 23 Ekim 2026’da yayımladığı bir bilgilendirme notunda, mevcut web uygulaması güvenlik duvarı (WAF) kurallarının yeni açığa yönelik bilinen saldırı girişimlerini engellediğini, ancak bu korumanın yalnızca PHP’nin varsayılan dosya yükleme ilerleme alanı adını kullanan uygulamalar için geçerli olduğunu belirtti.
Geçmişteki iki açık, kimlik doğrulaması gerektirmeden sunucularda uzaktan kod çalıştırılmasına izin veriyordu ve bu açıklar üzerinden Mirai botnet ailesinden "Potassium" adlı zararlı yazılımın dağıtım denemeleri tespit edilmişti. Ancak, bu denemeler başarılı bir uzaktan kod yürütme sonucuna ulaşmadı. Yeni CVE-2026-115560 için de hâlihazırda aktif bir saldırı raporu bulunmuyor. Bu durum, güvenlik topluluğunun ve PHP ekibinin, yeni açığı izleme ve müdahale süreçlerini dikkatle yürüttüğünü gösteriyor.
PHP’nin bu tür kritik güvenlik açıklarına karşı izlediği güncelleme stratejisi, acil yama yerine planlı bir sürümle sorunu çözme yaklaşımını içeriyor. Geliştiriciler, bu stratejinin yeterince koruyucu olup olmadığını tartışırken, geçici önlemlerin uygulanması ve WAF kurallarının güncellenmesi, sistem yöneticileri için şu anki en etkili savunma hattı olarak öne çıkıyor.
