PHP2Shell için acil yamaların yayımlanmasından iki gün sonra, belirli yapılandırmalara sahip web uygulamalarını etkileyen başka bir güvenlik açığı duyuruldu. PHP geliştiricileri, açığın ortaya çıkması için nadir koşulların bir araya gelmesi gerektiğini belirterek hemen güncelleme yayımlamak yerine ilgili özelliğin geçici olarak kapatılmasını tavsiye ediyor.
Açık, oturum yükleme ilerlemesi özelliğiyle bağlantılı
Güvenlik sorununun merkezinde PHP’de dosya yükleme işleminin ne kadar ilerlediğini izlemeye yarayan “session upload progress” özelliği bulunuyor. Varsayılan olarak etkin olan bu özellik, yükleme durumunun web uygulaması üzerinden takip edilmesini sağlıyor.
Açığın oluşması için uygulamada önce “session.serialize_handler” ayarının “php_binary” ya da “php_serialize” olarak yapılandırılması, ardından “ini_set()” ile “php” değerine geçirilmesi gerekiyor. Bu değişikliğin “session_start()” çağrısından önce yapılması ve oturum yükleme ilerlemesi özelliğinin etkin olması da şart.
Koşulların tümünün aynı anda gerçekleşmesi gerektiğinden PHP, açığın gerçek uygulamalarda görülme olasılığını düşük değerlendiriyor. Çalışma sırasında serileştirme yöntemini değiştirmeyen uygulamalar bu özel saldırı yolundan etkilenmiyor.
Geçici çözüm: Özelliği devre dışı bırakmak
PHP geliştiricileri, düzeltme yayımlanana kadar sistem yöneticilerine “session.upload_progress.enabled=0” ayarını kullanarak ilgili özelliği kapatmalarını öneriyor.
Aynı ayar, PHP’nin 21 Ekim’de yayımladığı önceki güvenlik duyurusunda PHP2Shell açıklarından biri için de geçici önlem olarak belirtilmişti. Bu nedenle o tarihte söz konusu ayarı uygulayıp kapalı tutan yöneticilerin yeni açık için ayrıca işlem yapması gerekmiyor.
CVE-2026-115560 olarak tanımlanan açığın düzeltmesinin bir sonraki olağan hata düzeltme sürümünde sunulması planlanıyor. PHP henüz etkilenen sürümleri, düzeltmenin hangi sürümlere geleceğini veya açığın önem derecesini açıklamadı. Yeni sorunun önceki PHP2Shell açıklarından biriyle aynı temel nedenden kaynaklanıp kaynaklanmadığı da bilinmiyor.
