Dünya genelinde milyonlarca web sitesinin altyapısında kullanılan PHP, peş peşe ortaya çıkan güvenlik açıklarıyla gündemde. PHP2Shell adı verilen iki kritik güvenlik açığının yarattığı endişe henüz dinmemişken, yazılımda yeni bir sorun daha ortaya çıktı. PHP2Shell için acil yamaların yayımlanmasının üzerinden yalnızca iki gün geçmişken tespit edilen yeni açık, belirli yapılandırmalara sahip web sunucularında uzaktan kod çalıştırılmasına imkan tanıyabiliyor.
Ancak PHP geliştiricileri, bu kez farklı bir yol izlemeyi tercih etti. Açığın oldukça özel koşullarda ortaya çıkması nedeniyle acil güvenlik güncellemesi yayımlanmayacak. Bunun yerine, bir sonraki düzenli sürüme kadar riskli özelliğin kapatılması öneriliyor.
CVE-2026-115560 koduyla takip edilen güvenlik açığının merkezinde, PHP'nin oturum yönetiminde kullanılan "session upload progress" özelliği bulunuyor. Bu özellik, kullanıcıların web uygulamalarına dosya yüklerken işlemin ne kadar ilerlediğini takip etmesini sağlıyor. PHP'de varsayılan olarak etkin olan sistem, belirli yapılandırma koşulları altında güvenlik riskine dönüşebiliyor.
Ancak her PHP sunucusu aynı tehlikeyle karşı karşıya değil. Geliştiricilere göre açığın kullanılabilmesi için birden fazla özel koşulun aynı anda gerçekleşmesi gerekiyor.
Yeni güvenlik sorununun ortaya çıkabilmesi için uygulamanın oturum yönetimi ayarlarında belirli değişikliklerin yapılmış olması gerekiyor. İlk olarak "session.serialize_handler" seçeneğinin "php_binary" veya "php_serialize" olarak ayarlanmış olması şart. Ardından bu ayarın, "session_start()" işlevi çalıştırılmadan önce "ini_set()" aracılığıyla "php" olarak değiştirilmesi gerekiyor. Bunlara ek olarak "session upload progress" özelliğinin de etkin durumda bulunması gerekiyor. PHP geliştiricileri, bütün bu koşulların aynı anda karşılanmasının gerçek uygulamalarda oldukça düşük bir ihtimal olduğunu belirtiyor. Çalışma sırasında oturum serileştirme yöntemini değiştirmeyen uygulamalar ise söz konusu saldırı yönteminden etkilenmiyor.
Yeni açığın ortaya çıkmasının ardından gözler PHP geliştiricilerinin yayımlayacağı güvenlik güncellemesine çevrildi. Ancak bu kez acil bir yama hazırlanmayacak. Geliştiriciler, sistem yöneticilerine güvenlik açığı giderilene kadar ilgili özelliği kapatmalarını öneriyor.
Bunun için PHP yapılandırmasında şu ayarın kullanılması gerekiyor:
Bu değişiklik, dosya yükleme ilerlemesini takip eden özelliği devre dışı bırakarak yeni güvenlik açığının kullanılmasını engelliyor. Üstelik bu önlem ilk kez gündeme gelmiş değil. PHP, 21 Ekim'de yayımladığı önceki güvenlik duyurusunda da PHP2Shell açıklarından biri için aynı ayarın uygulanmasını tavsiye etmişti. Dolayısıyla önceki uyarının ardından bu özelliği kapatan ve kapalı tutmaya devam eden sistem yöneticilerinin yeni açık nedeniyle ek bir işlem yapmasına gerek bulunmuyor.
PHP geliştiricileri, CVE-2026-115560 numaralı güvenlik açığını bir sonraki olağan hata düzeltme sürümünde gidermeyi planlıyor. Ancak şu ana kadar açığın PHP'nin hangi sürümlerini etkilediği açıklanmadı. Güvenlik düzeltmesinin hangi sürümle kullanıma sunulacağı da henüz netleşmiş değil.
Google Play
App Store
11:01
Haberi Paylaş
İLGİLİ HABERLER
YORUM YAZ