PHP, Yaması Henüz Olmayan RCE Açığı İçin Önlem Paylaştı

PHP güvenlik ekibi, henüz yaması bulunmayan ve alışılmadık bir yapılandırma ile uygulama kodu birleşimine sahip sistemleri etkileyen bir uzaktan kod yürütme (RCE) açığı için önlem paylaştı.

CVE-2026-115560 olarak izlenen açık, yalnızca bir uygulamanın session.serialize_handler ayarını php_binary veya php_serialize olarak belirlemesi, session_start() çağrısından önce çalışma zamanında ini_set() ile bu ayarı php olarak değiştirmesi ve oturum yükleme ilerlemesini etkin bırakması durumunda kullanılabiliyor. Ekip, serileştirme işleyicisini çalışma zamanında değiştirmeyen uygulamaların bu özelliği etkin bırakabileceğini söyledi. Tam bilgilendirmeyi bir sonraki sürümle yayımlamayı planlıyor.

Güvenlik yaması çıkana kadar PHP geliştiricileri session.upload_progress.enabled=0 ayarını öneriyor. Ekip, bu önlemi çarşamba günü zaten uygulayan sistemlerde başka bir işlem gerekmediğini belirtti.

Bu açıklama, PHP2Shell olarak anılan diğer iki kritik RCE açığı, CVE-2026-109618 ve CVE-2026-109619 için acil yamaların ardından geldi. Kaynağa göre güvenlik şirketleri, açıklar kamuya duyurulmadan önce başarısız istismar girişimleri tespit etti. Amazon Threat Intelligence, saldırganların PHP2Shell açıklarını yamalar yayımlanmadan dört gün önce hedef almaya başladığını söyledi. Dataminr'ın TRACE ekibi ise tarama ve çalışmayan istismar kodları bildirdi; bilinen bir sistem ihlali olmadığını aktardı. Kaynak, bildirilen girişimlerden herhangi birinin başarılı olup olmadığının belirsiz olduğunu belirtiyor.