# PHP yine alarm verdi, yeni bir güvenlik açığı tespit edildi

- Bağlantı: https://www.borsatek.com/php-icin-yeni-guvenlik-acigi-uyarisi/
- Yayımlanma: 2026-10-25T13:21:10+03:00
- Yazar: Haber Merkezi

PHP programlama dilinde web sunucularında uzaktan kod çalıştırılmasına imkan tanıyan
yeni bir güvenlik açığı tespit edildi. Yazılım dünyasını etkileyen [PHP](https://www.borsatek.com/php-sistemlerinde-kriz-turkiye-alarmda/)
2Shell zafiyetlerine acil yamalar yayımlanmasından iki gün sonra fark edilen yeni
sorun, belirli sunucu yapılandırmalarına sahip web uygulamalarını etkiliyor.

Geliştiricilerin uyarısına göre yeni açığın merkezinde, sistemin oturum yönetimiyle
ilişkili olan session upload progress özelliği yer alıyor. Özellik, kullanıcıların
web uygulamalarına dosya yükleme süreçlerindeki ilerleme durumunu takip etmesini
sağlıyor. Varsayılan olarak etkin durumda bulunan yapılandırma, dosya yükleme durumunun
uygulama üzerinden izlenmesine imkan veriyor.

![Siber güvenlik](https://i3.wp.com/www.borsatek.com/app/uploads/2025/03/turknet-
siber-saldiri_hack_2.webp)

Güvenlik açığının ortaya çıkması için uygulama ayarlarında session.serialize_handler
seçeneğinin [php](https://www.borsatek.com/php-guvenlik-acigi-internet-sitelerini-e-2/)
_binary veya php_serialize şeklinde ayarlanması gerekiyor. Ardından ini_set işlevi
aracılığıyla seçeneğin php olarak değiştirilmesi ve işlemin session_start çağrısından
önce yapılması şart koşuluyor. Oturum yükleme ilerlemesi özelliğinin de etkin olmasıyla
birlikte tüm koşulların aynı anda gerçekleşmesi bekleniyor.

Geliştiriciler, tüm koşulların aynı anda karşılanma ihtimalinin düşük olduğunu, 
gerçek dünyadaki uygulamalarda saldırı riskinin zayıf değerlendirildiğini bildirdi.
Çalışma sırasında serileştirme yöntemini değiştirmeyen uygulamalar risk taşımıyor.

## Geçici çözüm önerisi ve güncelleme takvimi

PHP geliştiricileri acil yama yayımlamak yerine geçici önlem uygulanmasını tavsiye
etti. Sistem yöneticilerine, sorun giderilene kadar session.upload_progress.enabled
=0 ayarı üzerinden özelliğin devre dışı bırakılması önerildi. Öneri, 21 Ekim tarihindeki
duyuruda [PHP2Shell](https://www.php2shell.com/) açığı için paylaşılan tavsiyeyle
aynı niteliği taşıyor. O dönem ilgili ayarı uygulayan sistem yöneticilerinin ek 
işlem yapmasına gerek duyulmuyor.

CVE-2026-115560 koduyla kayıtlara geçen yeni güvenlik açığının düzeltmesi bir sonraki
olağan hata düzeltme sürümüyle sunulacak. Proje ekibi, etkilenen sürümleri, düzeltmenin
yayımlanacağı sürüm numaralarını ve açığın önem derecesini henüz açıklamadı. Ayrıca
durumun önceki PHP2Shell açıklarından biriyle aynı temel nedenden kaynaklanıp kaynaklanmadığı
bilinmiyor.

![PHP](https://i3.wp.com/www.borsatek.com/app/uploads/2026/10/PHP_korsan_hack_siber.
jpg)

### PHP güvenlik açığı hangi sistemleri etkiliyor?

Açık, session.serialize_handler seçeneği php_binary veya php_serialize olarak ayarlanan,
ardından session_start öncesinde ini_set ile php olarak değiştirilen ve oturum yükleme
ilerlemesi etkin olan uygulamaları etkiliyor.

### Geliştiriciler güvenlik açığına karşı ne öneriyor?

Geliştiriciler acil bir güncelleme yayımlamak yerine sistem yöneticilerine session.
upload_progress.enabled=0 ayarını kullanarak ilgili özelliği geçici olarak devre
dışı bırakmalarını tavsiye ediyor.

![PHP](https://i1.wp.com/www.borsatek.com/app/uploads/2026/10/PHP_3.webp)