PHP2Shell açıkları için yayımlanan acil yamalardan yalnızca iki gün sonra PHP'de yeni bir güvenlik açığı ortaya çıktı. Belirli yapılandırmalara sahip web uygulamalarını etkileyen açık, web sunucularında uzaktan kod çalıştırılmasına yol açabiliyor.
PHP geliştiricileri, açığa neden olan yapılandırmayla gerçek uygulamalarda karşılaşılma ihtimalini düşük değerlendiriyor. Bu nedenle acil güncelleme yayımlamak yerine geçici önlem öneriyor. CVE-2026-115560 olarak tanımlanan açık için düzeltmenin bir sonraki olağan hata düzeltme sürümüyle sunulması planlanıyor.
AÇIK İÇİN TÜM KOŞULLARIN BİR ARAYA GELMESİ GEREKİYOR
Sorunun merkezinde, PHP'nin oturum yönetimiyle ilişkili “session upload progress” özelliği bulunuyor. Varsayılan olarak etkin olan bu özellik, kullanıcıların web uygulamasına dosya yüklerken işlemin ne kadar ilerlediğini takip etmesini sağlıyor.
Açığın ortaya çıkması için uygulamanın yapılandırmasında session.serialize_handler seçeneğinin php_binary veya php_serialize olarak ayarlanmış olması gerekiyor. Ardından bu seçeneğin, session_start() çağrısından önce ini_set() işleviyle php olarak değiştirilmesi ve oturum yükleme ilerlemesi özelliğinin de etkin olması şart.
Bu koşulların tamamının aynı anda karşılanması gerekiyor. Çalışma sırasında serileştirme yöntemini bu şekilde değiştirmeyen uygulamalar, söz konusu saldırı yolundan etkilenmiyor.
ÖNCEKİ ÖNLEMİ KORUYANLARA EK İŞLEM GEREKMİYOR
Geliştiriciler, sorun giderilene kadar sistem yöneticilerinin session.upload_progress.enabled=0 ayarıyla ilgili özelliği devre dışı bırakmasını tavsiye ediyor.
Aynı ayar, PHP'nin 21 Ekim'de yayımladığı güvenlik duyurusunda da PHP2Shell açıklarından biri için geçici çözüm olarak önerilmişti. Bu önlemi o tarihte uygulayan ve etkin tutan sistem yöneticilerinin yeni açık için ek işlem yapmasına gerek bulunmuyor.
PHP, henüz etkilenen sürümleri, düzeltmenin hangi sürümlerde yer alacağını veya açığın önem derecesini açıklamadı. Yeni açığın, önceki PHP2Shell açıklarından biriyle aynı temel nedenden kaynaklanıp kaynaklanmadığı da bilinmiyor.
