PHP'de yeni açık CVE-2026-115560: PHP2Shell güncellemesi bu açığı kapatmıyor
PHP, 23 Ekim 2026'da CVE-2026-115560 numaralı yeni bir uzaktan kod çalıştırma (RCE) açığı duyurdu. Açık, iki gün önce yamalanan PHP2Shell açıklarından ayrı ve henüz yaması yok. Yalnızca nadir bir yapılandırmayı kullanan uygulamalar etkileniyor, PHP de istismar ihtimalini düşük görüyor. Önlem tek satır: session.upload_progress.enabled=0. PHP2Shell için bu ayarı 21 Ekim'de yapıp yerinde bıraktıysanız başka bir şey yapmanıza gerek yok.
Sunucum etkileniyor mu?
PHP'ye göre açık ancak üç koşul aynı anda varsa ortaya çıkıyor:
-
php.ini veya başka bir yapılandırma dosyasında
session.serialize_handlerdeğeriphp_binaryya daphp_serializeolarak ayarlı. -
Uygulama,
session_start()çağrısından önceini_set()ile bu değeriphpyapıyor. -
session.upload_progress.enabledaçık. Bu ayar PHP'de varsayılan olarak açık geliyor.
Varsayılan kurulumda serializer zaten php olduğu için ilk koşul oluşmuyor. Serializer'ı çalışma sırasında hiç değiştirmeyen uygulamalar, upload progress açık olsa bile bu yoldan etkilenmiyor.
Kodunuzun bu ayara dokunup dokunmadığını proje klasöründe arayarak görebilirsiniz. vendor klasörünü aramanın dışında bırakmayın, üçüncü parti paketler de bu ayarı değiştirebilir.
grep -rn "serialize_handler" /var/www/projeniz
PHP2Shell güncellemesi bu açığı kapatıyor mu?
Hayır. PHP, 21 Ekim'de 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleriyle CVE-2026-109618 ve CVE-2026-109619'u kapattı. Yeni açığın düzeltmesini ise acil yama olarak değil, bir sonraki olağan sürümle yayımlayacak. Tam güvenlik bildirimi de o sürümle gelecek.
The Hacker News'in belirttiğine göre PHP henüz etkilenen sürümleri, düzeltmenin hangi sürümde çıkacağını ve açığın önem puanını açıklamadı. Yeni açığın CVE-2026-109619 ile aynı kökten gelip gelmediği de bilinmiyor. İkisinin ortak noktası session upload progress özelliği: PHP, 21 Ekim bildiriminde CVE-2026-109619 için de aynı ayarı geçici önlem olarak önermişti.
Ne yapmalıyım?
Ayarı uygulamanın değiştiremeyeceği bir yerde kapatın: php.ini, PHP-FPM havuzu veya web sunucusu yapılandırması. PHP, ini_set() ya da FPM .user.ini üzerinden yapılan değişikliğe güvenilmemesini söylüyor.
; php.ini
session.upload_progress.enabled = 0
; veya PHP-FPM havuz dosyasında (ör. www.conf)
php_admin_flag[session.upload_progress.enabled] = off
Sonra tüm PHP worker'larını yeniden başlatın. Ayarın devreye girdiğini web sunucusundan açtığınız bir phpinfo() sayfasında kontrol edin. Komut satırındaki php -i farklı bir php.ini okuyabileceği için yanıltıcı sonuç verebilir.
Ayar kapanınca PHP, dosya yüklemelerinin ilerlemesini oturuma yazmayı bırakır. İlerleme çubuğunu bu bilgiden besleyen sayfalarda çubuk ilerlemez, dosya yükleme ise çalışmaya devam eder.
PHP2Shell güncellemesini hala yapmadıysanız önceliğiniz o olsun. The Hacker News'in aktardığına göre 21 Ekim'den beri görülen saldırılar PHP2Shell açıklarını hedefliyor. Sophos ve Arctic Wolf, saldırganların bu açıklar üzerinden bir Mirai botnet varyantı kurmaya çalıştığını bildirdi. CVE-2026-115560 için bildirilmiş bir istismar yok. PHP2Shell'in ayrıntılarını önceki yazımızda anlattık.
Sık sorulan sorular
Paylaşımlı hosting kullanıyorum, ne yapabilirim?
php.ini'ye erişiminiz yoksa hosting firmanıza bu ayarı sunucu düzeyinde kapatıp kapatmadıklarını sorun. Kendi klasörünüze koyacağınız bir .user.ini dosyası PHP'nin önerdiği önlem yerine geçmiyor.
Yama ne zaman çıkacak?
PHP bir tarih vermedi. Düzeltme bir sonraki olağan bugfix sürümünde gelecek. Upload progress özelliğini kullanmıyorsanız güncellemeden sonra da kapalı tutabilirsiniz.
WordPress veya Laravel kullanıyorum, etkilenir miyim?
Etkilenip etkilenmediğiniz kullandığınız yazılıma değil, yukarıdaki üç koşula bağlı. serialize_handler aramasından sonuç çıkmıyorsa ve sunucuda bu değer varsayılan haliyle duruyorsa bu açık sizi etkilemiyor.
Sunucularınızdaki PHP ayarlarını kontrol ettirmek veya sürüm güncellemesini planlamak isterseniz yazılım danışmanlığı ekibimize buradan ulaşabilirsiniz.
