PHP, Acil Yamalardan İki Gün Sonra Yeni Bir RCE Açığı İçin Uyarı Yayımladı

PHP projesi, 21 Ekim'de iki kritik PHP2Shell açığına yönelik acil yamalar yayımlamasının ardından yalnızca iki gün geçmişken yeni bir güvenlik uyarısı daha yayımladı. 23 Ekim'de kamuoyuyla paylaşılan kısa bilgilendirme duyurusunda, CVE-2026-115560 olarak tanımlanan yeni sorunun belirli koşullar altında bir saldırganın web sunucusunda kod çalıştırmasına yol açabileceği belirtildi.
Yeni açık, 21 Ekim'de kapatılan CVE-2026-109618 ve CVE-2026-109619'dan bağımsız bir sorun olarak değerlendiriliyor. PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde yayımlanan acil yamalar bu yeni sorunu kapsamıyor. PHP, söz konusu yapılandırmanın pratikte nadir görüldüğünü vurgulayarak yeni bir acil yama yayımlamak yerine düzeltmeyi bir sonraki rutin sürüme bırakmayı tercih etti.

Açık Hangi Koşullarda Ortaya Çıkıyor?​

CVE-2026-115560'ın devreye girebilmesi için web uygulamasının birkaç koşulu aynı anda sağlaması gerekiyor. PHP'nin açıklamasına göre uygulama; yapılandırmasında session.serialize_handler seçeneğini php_binary ya da php_serialize olarak belirlemiş olmalı, ardından çalışma zamanında ini_set() çağrısıyla bu seçeneği php olarak değiştirmeli ve bu değişikliği session_start() çağrısından önce gerçekleştirmeli. Bunların yanı sıra session upload progress özelliğinin de açık olması gerekiyor.
Seri hale getirme işleyicisini çalışma zamanında hiç değiştirmeyen uygulamalar bu yoldan risk altında değil. PHP, bu yapılandırmanın pratikte son derece ender rastlanan bir durum olduğunu ifade ediyor.

Önerilen Geçici Önlem: Session Upload Progress'i Kapat​

PHP, kalıcı düzeltme bir sonraki rutin sürümde yayımlanana kadar yapılandırma dosyasına session.upload_progress.enabled=0 satırının eklenmesini öneriyor. Bu önlem tek satırlık bir değişiklikten ibaret. Dikkat çekici olan nokta şu: aynı ayar, 21 Ekim'deki acil duyuruda CVE-2026-109619 için de geçici çözüm olarak tavsiye edilmişti. Dolayısıyla o tarihte önlemi uygulayanlar ve ayarı geri almamış olanlar, yeni açık için ek bir işlem yapmak zorunda değil.
Session upload progress, varsayılan olarak açık gelen bir PHP özelliği. Bir uygulamanın dosya yükleme işleminin ne kadar ilerlediğini takip etmesine olanak tanıyor. PHP, bu özelliği kapatan uygulamaların CVE-2026-115560'a bu yoldan maruz kalmadığını da vurguluyor.

Açık Hakkında Bilinmeyenler​

PHP şu ana kadar CVE-2026-115560'ın hangi sürümleri etkilediğini, düzeltmenin hangi sürümde geleceğini veya açığın CVSS puanını açıklamadı. Ayrıca yeni sorunun CVE-2026-109619 ile ortak bir kök nedeni paylaşıp paylaşmadığı konusunda da herhangi bir bilgi vermedi. Tam teknik danışma belgesi bir sonraki rutin sürümle birlikte yayımlanacak. CVE-2026-115560'ın aktif olarak istismar edildiğine dair herhangi bir rapor henüz bulunmuyor.

PHP2Shell Saldırıları Genişlemeye Devam Ediyor​

Yeni uyarının arka planında, 21 Ekim yamalarının ardından hız kazanan PHP2Shell saldırıları yer alıyor. Amazon, bal küpü sistemlerinin CVE-2026-109618 ve CVE-2026-109619'a yönelik bir istismar girişimini açıklamanın dört gün öncesinde, 17 Ekim'de kaydettiğini bildirdi. Cloudflare ise 21 Ekim açıklamasının ardından ilk 45 dakika içinde onlarca binle başlayan deneme sayısının 22 Ekim'in başlarında milyonlara ulaştığını açıkladı.
Sophos ve Arctic Wolf, saldırganların bu açıkları Mirai botnet varyantı kurmak amacıyla kullanmaya çalıştığını raporladı. Previdian, Wordfence ve diğer araştırmacılar ise şimdiye kadar tarama ve keşif aktivitesi gözlemlediklerini ancak doğrulanmış bir kod yürütme vakasına rastlamadıklarını belirtti. Araştırmacılar, güvenilir bir istismar kodunun beklenenden daha zor inşa edildiğini de not ediyor. Bu saldırı faaliyetlerinin tamamı 21 Ekim'de yamalanan iki açığı hedef alıyor; CVE-2026-115560 henüz herhangi bir saldırıda kullanılmadı.

Sıkça Sorulan Sorular​

CVE-2026-115560 nedir ve hangi sistemleri etkiliyor?​

CVE-2026-115560, PHP'de belirli oturum yapılandırmalarında uzaktan kod yürütülmesine yol açabilecek yeni bir güvenlik açığıdır. Yalnızca session.serialize_handler ayarını çalışma zamanında değiştiren ve session upload progress özelliği açık olan web uygulamalarını etkiliyor. PHP, bu yapılandırmanın pratikte nadir görüldüğünü belirtiyor.

21 Ekim'de yayımlanan PHP yamaları bu yeni açığı kapatıyor mu?​

Hayır. PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde yayımlanan acil yamalar yalnızca CVE-2026-109618 ve CVE-2026-109619'ı kapsıyor. CVE-2026-115560 bu yamalarla giderilmiyor ve düzeltmesi bir sonraki rutin sürümde gelecek.

CVE-2026-115560 için şu an ne yapılabilir?​

PHP, yapılandırma dosyasına session.upload_progress.enabled=0 satırının eklenmesini öneriyor. Bu ayar, 21 Ekim'deki acil duyuruda CVE-2026-109619 için de tavsiye edilmişti; dolayısıyla o tarihte önlemi uygulayan ve geri almamış olanlar ek bir işlem yapmak zorunda değil.

PHP2Shell saldırıları ne zaman başladı ve nasıl bir seyir izledi?​

Amazon'un bal küpü sistemleri, CVE-2026-109618 ve CVE-2026-109619'a yönelik ilk istismar girişimini açıklamanın dört gün öncesi olan 17 Ekim'de kaydetti. Cloudflare'e göre 21 Ekim açıklamasının ardından ilk 45 dakikada onlarca binle başlayan deneme sayısı, 22 Ekim'in başlarında milyonlara ulaştı.

CVE-2026-115560 aktif olarak istismar ediliyor mu?​

Hayır. Kaynakta yer alan bilgilere göre CVE-2026-115560'ın aktif olarak istismar edildiğine dair herhangi bir rapor bulunmuyor. Gözlemlenen saldırı faaliyetleri, 21 Ekim'de yamalanan CVE-2026-109618 ve CVE-2026-109619 açıklarını hedef alıyor.