PHP, Acil Yamalardan İki Gün Sonra Yamalanmamış Yeni RCE Riski İçin Uyardı

PHP projesi, 21 Ekim'de yayımladığı ve iki kritik PHP2Shell açığını kapatan acil güvenlik sürümlerinden yalnızca iki gün sonra, yeni bir uzaktan kod çalıştırma (RCE) riski için bilgilendirme yayımladı. CVE-2026-115560 olarak izlenen sorun, acil yama gerektirmeyecek kadar dar bir yapılandırmayı etkiliyor. PHP, kullanıcılara kalıcı düzeltme bir sonraki rutin sürüme gelene kadar belirli bir özelliği devre dışı bırakmalarını öneriyor.

Yeni açık, PHP'nin oturum yükleme ilerlemesi (session upload progress) özelliğinden kaynaklanıyor. PHP'nin açıklamasına göre risk, yalnızca bir uygulama aynı anda birkaç koşulu sağlıyorsa ortaya çıkıyor: yapılandırmada session.serialize_handler değeri php_binary veya php_serialize olarak ayarlanmışken, çalışma sırasında ini_set() çağrısıyla php olarak değiştirilmesi ve bunun session_start() çağrısından önce yapılması. Ayrıca oturum yükleme ilerlemesi özelliğinin de açık kalması gerekiyor. PHP, bu kombinasyonun pratikte pek olası olmadığını belirtiyor.

Yöneticiler için tek satırlık bir geçici çözüm var: session.upload_progress.enabled=0. PHP, bu ayarın 21 Ekim'deki CVE-2026-109619 için zaten önerilen azaltma ile aynı olduğunu ve o gün uygulayıp yerinde bırakanların yeni açık için ek bir işlem yapmasına gerek olmadığını vurguluyor. Özellik varsayılan olarak açık ve dosya yüklemenin ilerlemesini izlemek için kullanılıyor; ancak çoğu uygulama için kapatılması ciddi bir işlev kaybı yaratmıyor.

Bu gelişme, 21 Ekim acil sürümünün kapattığı iki açıktan bağımsız. PHP2Shell olarak anılan CVE-2026-109618 ve CVE-2026-109619, hesabı olmayan bir saldırganın sunucuda kod çalıştırmasına imkân tanıyordu ve PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleriyle giderildi. Yeni CVE ise bu sürümlerde de bulunuyor; PHP henüz etkilenen sürümleri, düzeltmenin hangi sürümde geleceğini veya bir şiddet puanını açıklamadı. Kök nedenin CVE-2026-109619 ile aynı olup olmadığı da bilinmiyor.

Öte yandan 21 Ekim'de açıklanan PHP2Shell açıklarını istismar etme girişimleri hızla arttı. Amazon'un honeypot'ları açıkların kamuoyuna duyurulmasından dört gün önce, 17 Ekim'de bir istismar denemesi kaydetti. Cloudflare ise açıklamadan sonraki 45 dakika içinde on binlerce deneme gördüğünü, bu sayının 22 Ekim sabahı milyonlara ulaştığını bildirdi. Sophos ve Arctic Wolf'a göre saldırganlar Mirai botnet varyantı yüklemeye çalıştı; ancak Previdian, Wordfence ve diğer güvenlik araştırmacıları şimdiye dek doğrulanmış bir kod çalıştırma vakası görmedi. Güvenilir bir exploit oluşturmak beklenenden zor görünüyor.

Arka plan

PHP, web sitelerinin büyük bölümünün altyapısını oluşturuyor. Cloudflare'ın verdiği bilgiye göre internet sitelerinin neredeyse %70'i PHP kullanıyor; WordPress ve Magento gibi yaygın platformlar da bu dilin üzerinde çalışıyor. Bu yüzden PHP çekirdeğindeki bir RCE açığı, tek bir uygulamayı değil geniş bir ekosistemi tehdit ediyor. Nitekim PHP2Shell için kavram kanıtlarının kısa sürede yayılması, Hollanda Ulusal Siber Güvenlik Merkezi gibi kurumları geçici olarak web sitelerini çevrimdışına almaya kadar götürdü. Ancak sonraki değerlendirmeler, istismarın karmaşık olduğunu ve önceki tahminlere göre büyük ölçekli sömürü olasılığının daha düşük göründüğünü ortaya koydu.

Ne anlama geliyor?

Yeni CVE-2026-115560 için panik yapmak gerekmiyor; çünkü etkilenme koşulları dar ve PHP'nin önerdiği geçici önlem yalnızca bir yapılandırma satırından ibaret. Ancak bu uyarı, PHP2Shell sonrası yöneticilerin dikkatinin dağılmaması gerektiğini gösteriyor: 21 Ekim yamalarını uygulamamış sistemler hâlâ çok daha büyük bir risk altında. Milyonlarca tarama ve deneme, henüz doğrulanmış bir sızma ile sonuçlanmamış olsa da açıkların kanıtlanmış istismar yolları mevcut; üstelik yapay zekâ araçlarının exploit geliştirmeyi hızlandırabileceği belirtiliyor. Bu nedenle güncellemeyi ertelemek, her geçen saat riski artırıyor.

Türkiye'deki barındırma sağlayıcıları ve kurumlar için yol haritası net: PHP sürümünü kontrol edip 8.5.12, 8.4.27, 8.3.36 veya 8.2.35'ten birine geçmek; ardından mümkünse session.upload_progress.enabled=0 ayarını koymak. Eğer işletim sistemi dağıtımının sağladığı PHP paketi kullanılıyorsa, güncellemeleri dağıtım sağlayıcısının yayımladığı güvenlik yamalarıyla takip etmek gerekiyor. Yeni açıkla ilgili tam bilgi ve kalıcı düzeltme bir sonraki rutin PHP sürümüyle gelecek; bu sürüme kadar geçici önlemin kalıcı olarak yapılandırmada kalması yeterli.