Damla Turan 
Yaygın olarak kullanılan PHP programlama iki kritik güvenlik açığının ortaya çıkması, günlerdir tüm yazılım dünyasını krize sokmuş durumda. PHP2Shell olarak anılan bu açıkların etkisi sürerken, PHP’de yeni bir açık daha fark edildi. PHP, web sunucularında uzaktan kod çalıştırılmasına yol açabilecek yeni bir güvenlik açığı konusunda uyarıda bulundu.
PHP2Shell için acil yamalar yayımlanmasından yalnızca iki gün sonra ortaya çıkan bu yeni sorun, belirli yapılandırmalara sahip web uygulamalarını etkiliyor. PHP geliştiricileri, yeni açığın pratikte karşılaşılması pek olası olmayan bir yapılandırmadan kaynaklandığını belirtiyor. Bu nedenle acil bir güncelleme yayımlamak yerine, sorunun giderileceği bir sonraki düzenli sürüme kadar ilgili özelliğin devre dışı bırakılmasını öneriyorlar.
PHP’deki yeni açık belirli yapılandırmalara sahip sunucuları etkiliyor
Bu yeni açığın merkezinde, PHP’nin oturum yönetimiyle ilişkili bir özellik olan “session upload progress” yer alıyor. Bu özellik, kullanıcıların bir web uygulamasına dosya yüklerken işlemin ne kadar ilerlediğinin takip edilmesini sağlıyor. PHP’de varsayılan olarak etkin olan özellik, dosya yükleme işlemlerinin durumunu uygulama üzerinden izlemeyi mümkün kılıyor.
Yeni güvenlik açığının ortaya çıkması için uygulamanın yapılandırmasında “session.serialize_handler” seçeneğinin “php_binary” veya “php_serialize” olarak ayarlanması, ardından “ini_set()” işlevi aracılığıyla bu seçeneğin php olarak değiştirilmesi ve bunun “session_start()” çağrısından önce yapılması gerekiyor. Ayrıca oturum yükleme ilerlemesi özelliğinin de etkin olması şart. Bu koşulların tamamının aynı anda karşılanması gerektiği için PHP, açığın gerçek dünyadaki uygulamalarda görülme ihtimalini düşük değerlendiriyor. Çalışma sırasında serileştirme yöntemini değiştirmeyen (yani üstte belirtilen değişiklikleri yapmayan) uygulamalar ise bu özel saldırı yolundan etkilenmiyor.
PHP, yeni açık için acil güncelleme yayımlamayacak
PHP geliştiricileri, yeni güvenlik açığı için hemen bir yama yayımlamak yerine geçici bir önlem uygulanmasını tavsiye ediyor. Buna göre sistem yöneticilerinin, sorun giderilene kadar session.upload_progress.enabled=0 ayarını kullanarak ilgili özelliği devre dışı bırakması gerekiyor.
Bu önlem aslında tamamen yeni değil. PHP, 21 Ekim’de yayımladığı önceki güvenlik duyurusunda da PHP2Shell açıklarından biri için aynı ayarı geçici çözüm olarak önermişti. Dolayısıyla o tarihte bu ayarı uygulayan ve etkin durumda tutan sistem yöneticilerinin yeni açık için ek bir işlem yapmasına gerek bulunmuyor.
PHP, bu yeni açık (CVE-2026-115560) için için düzeltmeyi bir sonraki olağan hata düzeltme sürümüyle sunmayı planlıyor. Proje, henüz etkilenen sürümleri, düzeltmenin hangi sürümlerde yer alacağını veya açığın önem derecesini açıklamış değil. Yeni açığın önceki PHP2Shell açıklarından biriyle aynı temel nedenden kaynaklanıp kaynaklanmadığı da bilinmiyor.
