PHP'de yeni güvenlik açığı: PHP2Shell'den iki gün sonra uyarı
PHP2Shell açıkları için yayımlanan acil yamalardan iki gün sonra yeni bir güvenlik açığı daha ortaya çıktı. PHP, güncelleme yayınlamak yerine bu kez farklı bir yol izliyor.
Yaygın olarak kullanılan PHP programlama dilinde iki kritik güvenlik açığının ortaya çıkmasıyla yazılım dünyası günlerdir kriz yaşamaya devam ediyor. PHP2Shell olarak bilinen açıkların etkisi sürerken PHP geliştiricileri, web sunucularında uzaktan kod çalıştırılmasına yol açabilecek yeni bir güvenlik açığı konusunda uyarı yayınladı.
PHP2Shell için acil yamaların yayımlanmasından yalnızca iki gün sonra tespit edilen bu yeni sorun, belirli yapılandırmalara sahip web uygulamalarını etkiliyor. PHP geliştiricileri yeni açığın pratikte karşılaşılması pek olası olmayan bir yapılandırmadan kaynaklandığını belirtiyor. Bu nedenle acil bir güncelleme yerine sorunun giderileceği bir sonraki düzenli sürüme kadar ilgili özelliğin devre dışı bırakılmasını öneriyorlar.
PHP'deki yeni açık belirli yapılandırmalara sahip sunucuları etkiliyor
Yeni açığın merkezinde PHP'nin oturum yönetimiyle ilişkili "session upload progress" özelliği bulunuyor. Bu özellik, dosya yükleme işleminin ne kadar ilerlediğinin takip edilmesini sağlıyor ve PHP'de varsayılan olarak etkin durumda.
Yeni güvenlik açığının ortaya çıkması için "session.serialize_handler" seçeneğinin "php_binary" veya "php_serialize" olarak ayarlanması, ardından "ini_set()" ile bunun "php" olarak değiştirilmesi ve "session_start()" çağrısından önce yapılması gerekiyor. Ayrıca oturum yükleme ilerlemesi özelliğinin etkin olması şart. Bu koşulların tamamının aynı anda karşılanması gerektiği için PHP, açığın gerçek dünyadaki uygulamalarda görülme ihtimalini düşük değerlendiriyor. Çalışma sırasında serileştirme yöntemini değiştirmeyen uygulamalar ise bu saldırı yolundan etkilenmiyor.
PHP geliştiricileri yeni güvenlik açığı için hemen bir yama yayımlamak yerine geçici bir önlem uygulanmasını tavsiye ediyor. Sistem yöneticilerinin sorun giderilene kadar session.upload_progress.enabled=0 ayarını kullanarak ilgili özelliği devre dışı bırakması gerekiyor.
Bu önlem aslında tamamen yeni değil. PHP, 21 Ekim'de yayımladığı önceki güvenlik duyurusunda da PHP2Shell açıklarından biri için aynı ayarı geçici çözüm olarak önermişti. Dolayısıyla o tarihte bu ayarı uygulayan ve etkin durumda tutan sistem yöneticilerinin yeni açık için ek bir işlem yapmasına gerek bulunmuyor.
PHP, bu yeni açık (CVE-2026-115560) için düzeltmeyi bir sonraki olağan hata düzeltme sürümüyle sunmayı planlıyor. Proje henüz etkilenen sürümleri, düzeltmenin hangi sürümlerde yer alacağını veya açığın önem derecesini açıklamış değil. Yeni açığın önceki PHP2Shell açıklarından biriyle aynı temel nedenden kaynaklanıp kaynaklanmadığı da bilinmiyor.