Yama Bekleniyor: PHP'de Henüz Kapatılmayan Dev Güvenlik Açığı Web Sitelerini Tehdit Ediyor!
PHP'de ortaya çıkan ve uzaktan kod çalıştırma (RCE) riski taşıyan CVE-2026-115560 güvenlik açığı, henüz bir yama olmaması nedeniyle endişe yaratıyor. Uzmanlar geçici önlemler öneriyor.
Yeni Tehdit Kapıda: PHP Ekibinden Kritik Açıklama!
Teknoloji dünyası, PHP yazılımındaki yeni bir güvenlik açığı ile çalkalanıyor. CVE-2026-115560 olarak adlandırılan bu kritik açık, özellikle belirli oturum yapılandırmalarına sahip web sitelerini uzaktan kod çalıştırma (RCE) riskiyle karşı karşıya bırakıyor. Güvenlik camiası, henüz bir yama yayınlanmamış olması nedeniyle adeta teyakkuzda beklerken, uzmanlar alınabilecek geçici önlemleri kamuoyuyla paylaştı.
Teknik Detaylar ve Gerekli Yapılandırma Koşulları
PHP geliştiricileri tarafından 23 Ekim 2026 tarihinde yapılan resmi duyuruya göre, bu tehlikeli açık, özellikle dosya yükleme işlemlerinin ilerlemesini takip eden oturum mekanizmasında gizleniyor. Ancak bu güvenlik zafiyetinden faydalanabilmek için web uygulamasının oldukça özel ve nadir rastlanan bir yapılandırmaya sahip olması gerekiyor. PHP ekibi, bu özel durum göz önüne alındığında, sorunun acil bir güncelleme yerine planlanmış bir sonraki hata düzeltme sürümüyle giderileceğini bildirdi. Bu gelişme, geçtiğimiz günlerde ortaya çıkan ve PHP2Shell olarak bilinen iki kritik güvenlik sorunundan tamamen bağımsız.
Daha önce keşfedilen ve CVE-2026-109618 ile CVE-2026-109619 kodlarıyla takip edilen bu iki açık, kimlik doğrulama gerektirmeksizin sunucularda uzaktan kod çalıştırılmasına imkan tanıyordu. PHP, bu tehditlere karşı hızla 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımlayarak acil çözüm üretmişti. Ne var ki, bu güncellemeler yeni keşfedilen CVE-2026-115560 açığını kapatmıyor.
Zafiyetin Tetiklenmesi İçin Gereken Kritik Koşullar
Yeni güvenlik açığının tetiklenmesi için PHP uygulamasının oturum verilerini işleme biçiminde birden fazla koşulun aynı anda sağlanması şart. Bunlardan ilki, session.serialize_handler yapılandırma seçeneğinin php_binary veya php_serialize olarak ayarlanmış olması. İkinci kritik koşul ise, uygulamanın çalışması sırasında ini_set() fonksiyonu aracılığıyla bu değerin geçici olarak 'php' olarak değiştirilmesi ve bu işlemin session_start() çağrısından önce gerçekleşmesi. Son olarak, PHP'nin session.upload_progress.enabled özelliğinin de aktif olması gerekiyor. Varsayılan olarak etkin olan bu özellik, bir dosyanın sunucuya yüklenme sürecinin oturum verileri üzerinden takip edilmesini sağlıyor.
Önerilen Geçici Çözümler ve WAF Koruması
PHP geliştiricileri, özellikle oturum serileştirme yöntemini çalışma anında değiştirmeyen sistemlerin bu özel saldırı vektöründen etkilenmediğini vurguluyor. Bu nadir görülen yapılandırma kombinasyonu nedeniyle, yetkililer tarafından bu yeni güvenlik açığı için olağanüstü bir sürüm güncellemesi yayımlanmayacağı belirtiliyor. Bunun yerine, önerilen geçici önlem oldukça basit: PHP yapılandırmasında session.upload_progress.enabled=0 değerinin kullanılması. Bu küçük ayar, dosya yükleme ilerlemesini takip eden oturum özelliğini tamamen devre dışı bırakarak zafiyeti etkisiz hale getiriyor.
Öte yandan, güvenlik devi Cloudflare, 23 Ekim'deki ek bilgilendirmesinde, mevcut Web Uygulaması Güvenlik Duvarı (WAF) kurallarının, bu yeni açığa yönelik tespit edilen saldırı girişimlerini başarıyla engellediğini duyurdu. Ancak bu korumanın, PHP'nin varsayılan dosya yükleme ilerleme alanı adını kullanan uygulamalar için geçerli olduğu ifade edildi.
Geçmiş Saldırılar ve Geleceğe Yönelik Endişeler
Hatırlanacağı üzere, siber saldırganlar daha önceki iki kritik güvenlik açığını kullanarak sunuculara Mirai botnet ailesinden Potassium adlı zararlı yazılımı yüklemeye çalışmıştı. Yapılan güvenlik araştırmalarında tarama ve istismar denemeleri tespit edilse de, bu açıklar üzerinden başarılı bir uzaktan kod çalıştırma eylemi doğrulanamamıştı. Şu anki CVE-2026-115560 açığının aktif saldırılarda kullanıldığına dair ise henüz bir rapor bulunmuyor. Ancak bu durum, gelecekteki potansiyel tehditlerin habercisi olabilir. PHP ekibinin bu tür karmaşık güvenlik sorunlarına yaklaşımı ve güncelleme stratejisi, teknoloji dünyasında tartışılmaya devam edecek gibi görünüyor.
Ceren Güneş
Teknoloji & Gelecek Vizyonu
Bu yazı yazarımızın sitemizde yayınlanan köşe yazılarından biridir. Yazarımıza ait diğer tüm köşe yazılarına ve analizlere yukarıdaki bağlantıdan ulaşabilirsiniz.