PHP2Shell için acil yamaların yayımlanmasının üzerinden iki gün geçmeden, belirli yapılandırmalara sahip web uygulamalarını ilgilendiren yeni bir güvenlik açığı bildirildi. PHP geliştiricileri, açığın oluşması için nadir koşulların bir araya gelmesi gerektiğini belirterek acil güncelleme yerine geçici olarak ilgili özelliğin kapatılmasını tavsiye ediyor.
Açık, oturum yükleme ilerlemesi özelliğiyle ilişkili
Güvenlik sorununun merkezinde, PHP’de oturum yönetimiyle bağlantılı “session upload progress” özelliği bulunuyor. Varsayılan olarak etkin olan bu özellik, kullanıcıların web uygulamalarına yüklediği dosyaların işlem durumunu takip etmeyi sağlıyor.
Açığın ortaya çıkması için birden fazla yapılandırma koşulunun aynı anda gerçekleşmesi gerekiyor. Uygulamada “session.serialize_handler” seçeneğinin “php_binary” ya da “php_serialize” olarak ayarlanması, ardından “ini_set()” ile “php” değerine çevrilmesi ve bu değişikliğin “session_start()” çağrısından önce yapılması şart. Ayrıca oturum yükleme ilerlemesi özelliğinin de açık olması gerekiyor.
PHP geliştiricileri, bu koşulların birlikte karşılanmasının gerçek kullanımda açığa rastlama ihtimalini düşürdüğünü söylüyor. Çalışırken serileştirme yöntemini değiştirmeyen uygulamalar bu özel saldırı yolundan etkilenmiyor.
Geçici çözüm olarak özellik kapatılmalı
PHP ekibi şimdilik acil bir yama yayımlamak yerine, sistem yöneticilerinin “session.upload_progress.enabled=0” ayarını kullanarak özelliği devre dışı bırakmasını öneriyor. Düzeltme, bir sonraki olağan hata düzeltme sürümünde sunulacak.
Bu ayar, PHP’nin 21 Ekim’de yayımladığı önceki güvenlik duyurusunda PHP2Shell açıklarından biri için de geçici önlem olarak önerilmişti. O tarihte ayarı uygulayıp devre dışı bırakan sistem yöneticilerinin yeni açık nedeniyle ek bir işlem yapması gerekmiyor.
CVE-2026-115560 numaralı açık için etkilenen PHP sürümleri, düzeltmenin hangi sürümlere ekleneceği ve güvenlik önem derecesi henüz açıklanmadı. Yeni sorunun önceki PHP2Shell açıklarından biriyle aynı temel nedenden kaynaklanıp kaynaklanmadığı da bilinmiyor.
