PHP, sunucularda uzaktan kod çalıştırılmasına yol açabilecek yeni bir güvenlik açığı konusunda uyarıda bulundu. CVE-2026-115560 koduyla tanımlanan sorun, yalnızca belirli yapılandırmaları kullanan web uygulamalarını etkiliyor. PHP ekibi riski düşük görse de geliştiricilere geçici bir önlem almalarını öneriyor.
Uyarı, kritik PHP2Shell açıkları için acil yamaların yayımlanmasından sadece iki gün sonra geldi. Yeni açık için henüz acil güncelleme hazırlanmadı. Bunun yerine bir özelliğin devre dışı bırakılması önerildi. Açığın saldırılarda kullanıldığına dair doğrulanmış bir bildirim de bulunmuyor.
PHP’deki Yeni Açık Hangi Sistemleri Etkiliyor?
CVE-2026-115560 olarak tanımlanan güvenlik sorunu, PHP oturumlarının nasıl serileştirildiğini belirleyen session.serialize_handler ayarıyla ilgili. Risk, bu ayarın uygulama çalışırken değiştirilmesi ve belirli koşulların aynı anda oluşması durumunda ortaya çıkıyor.
PHP’ye göre bir web uygulamasının aşağıdaki koşulların tamamını karşılaması gerekiyor:
- Yapılandırmada session.serialize_handler ayarının php_binary veya php_serialize olarak belirlenmesi.
- Uygulama çalışırken ini_set() işleviyle bu ayarın php olarak değiştirilmesi.
- Değişikliğin session_start() çağrısından önce yapılması.
- Oturum dosyası yükleme ilerlemesini takip eden özelliğin etkin olması.
Bu koşulların tamamı bir araya gelmediğinde söz konusu saldırı yolu oluşmuyor. Özellikle oturum serileştirme ayarını çalışma sırasında değiştirmeyen uygulamalar bu yöntem üzerinden risk altında değil.
PHP, bu yapılandırmanın gerçek sistemlerde nadir görüldüğünü belirtiyor. Bu nedenle yeni sorun için acil bir sürüm yayımlamak yerine olağan güncelleme takvimini izliyor.
Güvenlik Açığına Karşı Hangi Ayar Kapatılmalı?
PHP, düzeltme yayımlanana kadar session.upload_progress.enabled=0 ayarının kullanılmasını tavsiye ediyor. Bu ayar, dosya yükleme işlemlerinin ilerlemesini takip eden özelliği devre dışı bırakıyor.
Özellik varsayılan olarak etkin durumda. Web uygulamaları bu sayede yüklenen dosyaların ilerleme durumunu izleyebiliyor. Fakat özelliğin kapatılması, yeni açık için belirlenen saldırı yolunu engellemeye yönelik geçici bir önlem sağlıyor.
21 Ekim’de yayımlanan PHP2Shell güvenlik uyarısında da aynı ayar önerilmişti. O tarihte bu önlemi uygulayan ve ayarı kapalı tutan sistem yöneticilerinin yeni açık için ek bir işlem yapmasına gerek yok.
PHP, CVE-2026-115560 için ayrıntılı güvenlik duyurusunu bir sonraki olağan sürümle birlikte yayımlayacak. Açığın hangi sürümleri etkilediği, düzeltmenin hangi sürümlerde sunulacağı ve güvenlik önem derecesi henüz açıklanmadı. Yeni açığın daha önce bildirilen CVE-2026-109619 ile aynı temel nedenden kaynaklanıp kaynaklanmadığı da bilinmiyor.
Kritik PHP2Shell Açıklarına Yönelik Saldırılar Arttı
Yeni güvenlik uyarısı, PHP’nin iki kritik PHP2Shell açığını gidermek için 21 Ekim’de acil güncellemeler yayımlamasından kısa süre sonra geldi. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlanan bu açıklar, hackerların hesap sahibi olmadan sunucuda kod çalıştırmasına imkan tanıyabiliyor.
Düzeltmeler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleriyle yayımlandı. CVE-2026-115560 ise bu güncellemelerle giderilmediği için ayrı bir sorun olarak ele alınıyor. PHP2Shell açıklarına yönelik saldırı girişimleri de hızla arttı. Amazon, sistemlerinin 17 Ekim’de bu iki açığı hedefleyen bir saldırı girişimi kaydettiğini bildirdi. Bu tarih, açıkların kamuoyuna duyurulmasından dört gün öncesine denk geliyor.
Cloudflare’ın gözlemlerine göre 21 Ekim’deki duyurunun ardından saldırı girişimleri ilk 45 dakika içinde on binler seviyesine ulaştı. 22 Ekim’in erken saatlerinde ise sayı milyonlarla ifade edilen seviyelere çıktı.
Hackerlar, Mirai Botnet Kurmaya Çalıştı
Sophos ve Arctic Wolf’un tespitlerine göre hackerlar, PHP2Shell açıklarından yararlanarak Mirai botnet ailesine ait bir varyantı kurmaya çalıştı. Mirai, ele geçirilen cihazları bir botnet ağına dahil etmek için kullanılan kötü amaçlı yazılım ailesi olarak biliniyor.
Buna rağmen saldırı girişimlerinin başarılı kod çalıştırmaya dönüştüğünü doğrulayan bir bulgu paylaşılmadı. Previdian ve Wordfence dahil çeşitli güvenlik kuruluşları tarama ve açıkları yoklama faaliyetleri gözlemledi. Araştırmacılar, güvenilir biçimde çalışan bir istismar yönteminin geliştirilmesinin beklenenden daha zor olduğunu belirtti.
Tabii, iki ayrı güvenlik konusunu da birbirinden ayırmak gerekiyor. Bildirilen saldırı faaliyetleri, 21 Ekim’de yamalanan CVE-2026-109618 ve CVE-2026-109619 açıklarını hedefliyor. Yeni CVE-2026-115560 açığının saldırılarda kullanıldığına dair bir bildirim bulunmuyor.
PHP kullanan sistem yöneticilerinin mevcut güvenlik güncellemelerini uygulaması ve session.upload_progress.enabled=0 ayarını kontrol etmesi önem taşıyor. Özellikle oturum serileştirme ayarını çalışma sırasında değiştiren uygulamaların yapılandırması gözden geçirilmeli.
Yorum Yap