PHP programlama dilinde web sunucularฤฑnda uzaktan kod รงalฤฑลtฤฑrฤฑlmasฤฑna imkan tanฤฑyan yeni bir gรผvenlik aรงฤฑฤฤฑ tespit edildi. Yazฤฑlฤฑm dรผnyasฤฑnฤฑ etkileyen PHP2Shell zafiyetlerine acil yamalar yayฤฑmlanmasฤฑndan iki gรผn sonra fark edilen yeni sorun, belirli sunucu yapฤฑlandฤฑrmalarฤฑna sahip web uygulamalarฤฑnฤฑ etkiliyor.
Geliลtiricilerin uyarฤฑsฤฑna gรถre yeni aรงฤฑฤฤฑn merkezinde, sistemin oturum yรถnetimiyle iliลkili olan session upload progress รถzelliฤi yer alฤฑyor. รzellik, kullanฤฑcฤฑlarฤฑn web uygulamalarฤฑna dosya yรผkleme sรผreรงlerindeki ilerleme durumunu takip etmesini saฤlฤฑyor. Varsayฤฑlan olarak etkin durumda bulunan yapฤฑlandฤฑrma, dosya yรผkleme durumunun uygulama รผzerinden izlenmesine imkan veriyor.
Gรผvenlik aรงฤฑฤฤฑnฤฑn ortaya รงฤฑkmasฤฑ iรงin uygulama ayarlarฤฑnda session.serialize_handler seรงeneฤinin php_binary veya php_serialize ลeklinde ayarlanmasฤฑ gerekiyor. Ardฤฑndan ini_set iลlevi aracฤฑlฤฑฤฤฑyla seรงeneฤin php olarak deฤiลtirilmesi ve iลlemin session_start รงaฤrฤฑsฤฑndan รถnce yapฤฑlmasฤฑ ลart koลuluyor. Oturum yรผkleme ilerlemesi รถzelliฤinin de etkin olmasฤฑyla birlikte tรผm koลullarฤฑn aynฤฑ anda gerรงekleลmesi bekleniyor.
Geliลtiriciler, tรผm koลullarฤฑn aynฤฑ anda karลฤฑlanma ihtimalinin dรผลรผk olduฤunu, gerรงek dรผnyadaki uygulamalarda saldฤฑrฤฑ riskinin zayฤฑf deฤerlendirildiฤini bildirdi. รalฤฑลma sฤฑrasฤฑnda serileลtirme yรถntemini deฤiลtirmeyen uygulamalar risk taลฤฑmฤฑyor.
Geรงici รงรถzรผm รถnerisi ve gรผncelleme takvimi
PHP geliลtiricileri acil yama yayฤฑmlamak yerine geรงici รถnlem uygulanmasฤฑnฤฑ tavsiye etti. Sistem yรถneticilerine, sorun giderilene kadar session.upload_progress.enabled=0 ayarฤฑ รผzerinden รถzelliฤin devre dฤฑลฤฑ bฤฑrakฤฑlmasฤฑ รถnerildi. รneri, 21 Ekim tarihindeki duyuruda PHP2Shell aรงฤฑฤฤฑ iรงin paylaลฤฑlan tavsiyeyle aynฤฑ niteliฤi taลฤฑyor. O dรถnem ilgili ayarฤฑ uygulayan sistem yรถneticilerinin ek iลlem yapmasฤฑna gerek duyulmuyor.
CVE-2026-115560 koduyla kayฤฑtlara geรงen yeni gรผvenlik aรงฤฑฤฤฑnฤฑn dรผzeltmesi bir sonraki olaฤan hata dรผzeltme sรผrรผmรผyle sunulacak. Proje ekibi, etkilenen sรผrรผmleri, dรผzeltmenin yayฤฑmlanacaฤฤฑ sรผrรผm numaralarฤฑnฤฑ ve aรงฤฑฤฤฑn รถnem derecesini henรผz aรงฤฑklamadฤฑ. Ayrฤฑca durumun รถnceki PHP2Shell aรงฤฑklarฤฑndan biriyle aynฤฑ temel nedenden kaynaklanฤฑp kaynaklanmadฤฑฤฤฑ bilinmiyor.
PHP gรผvenlik aรงฤฑฤฤฑ hangi sistemleri etkiliyor?
Aรงฤฑk, session.serialize_handler seรงeneฤi php_binary veya php_serialize olarak ayarlanan, ardฤฑndan session_start รถncesinde ini_set ile php olarak deฤiลtirilen ve oturum yรผkleme ilerlemesi etkin olan uygulamalarฤฑ etkiliyor.
Geliลtiriciler gรผvenlik aรงฤฑฤฤฑna karลฤฑ ne รถneriyor?
Geliลtiriciler acil bir gรผncelleme yayฤฑmlamak yerine sistem yรถneticilerine session.upload_progress.enabled=0 ayarฤฑnฤฑ kullanarak ilgili รถzelliฤi geรงici olarak devre dฤฑลฤฑ bฤฑrakmalarฤฑnฤฑ tavsiye ediyor.
