Web dünyasının temel taşlarından biri olan PHP, üst üste gelen güvenlik haberleriyle sarsılmaya devam ediyor. PHP2Shell olarak adlandırılan kritik açıkların yarattığı kaos henüz yatışmışken, yazılımın çekirdeğinde yeni bir zafiyet daha gün yüzüne çıktı. Uzaktan kod yürütme potansiyeli taşıyan bu yeni açık için PHP ekibi, alışılmışın dışında bir strateji izleyerek acil bir yama yayımlamak yerine sistem yöneticilerini manuel önlem almaya davet etti.
Tehlike nerede gizli?
CVE-2026-115560 koduyla tanımlanan bu yeni güvenlik sorunu, PHP'nin dosya yükleme süreçlerini takip etmek için kullanılan session upload progress özelliğinde meydana geliyor. Kullanıcıların dosya yükleme ilerlemesini görmesini sağlayan bu mekanizma, belirli konfigürasyon hatalarıyla birleştiğinde saldırganlara kapı aralıyor. Ancak uzmanlar, bu açığın her sunucuyu etkilemediğini ve tetiklenmesi için oldukça spesifik yapılandırma şartlarının bir arada bulunması gerektiğini vurguluyor.
Saldırı için üç aşamalı şart
Yeni açığın istismar edilebilmesi için sistemin oldukça özel bir dizilimde olması gerekiyor. Öncelikle session.serialize_handler ayarının php_binary veya php_serialize olarak yapılandırılmış olması, ardından session_start() öncesinde ini_set() ile bu ayarın değiştirilmesi ve son olarak session upload progress özelliğinin aktif olması şart. Geliştiriciler, bu karmaşık şartların bir araya gelme ihtimalinin düşük olduğunu belirtse de, sistem yöneticilerinin dikkatli olması gerektiğini hatırlatıyor.
Sistem yöneticileri ne yapmalı?
PHP ekibi, bu açık için acil bir güncelleme paketi yayımlamak yerine, bir sonraki olağan sürüm güncellenene kadar ilgili özelliğin devre dışı bırakılmasını öneriyor. Yöneticilerin, php.ini dosyası üzerinden session.upload_progress.enabled=0 ayarını yaparak bu riski tamamen ortadan kaldırabilecekleri belirtiliyor.
İlginç bir şekilde, bu öneri PHP2Shell açıkları için verilen tavsiyeyle aynı. Yani önceki güvenlik uyarılarını dikkate alarak bu özelliği kapatan yöneticiler, yeni açıklardan da otomatik olarak korunmuş durumda.
Henüz hangi PHP sürümlerinin bu durumdan etkilendiği netleşmemiş olsa da, güvenlik yaması gelene kadar bu basit yapılandırma değişikliği en güvenli yol olarak görülüyor.
