Vulnerability / Web Security
Gorsel Kaynagi: The Hacker News
PHP, kritik PHP2Shell açıklarları için acil düzeltmeleri yayınlasından iki gün sonra, bir saldırganın bir web sunucusunda kod çalıştırabileceği başka bir yolu uyardı.
CVE-2026-115560 kodlu yeni sorun, yalnızca alışılmadık bir şekilde yapılandırılan web uygulamalarını etkiliyor ve PHP bunu olası olmayan bir risk olarak değerlendiriyor.
Proje bunun için acil bir düzeltme yayınlamıyor. Bunun yerine, bir sonraki rutin sürümde düzeltme kullanılana kadar session upload progress adlı özelliğin kapatılmasını öneriyor.
Uyarı, 23 Ekim’de yayınlanan kısa bilgilendirme advisory’siyle geldi. Bu, 21 Ekim’de hesabı olmayan bir saldırganın bir sunucuda kod çalıştırmasına olanak tanıyan kritik CVE-2026-109618 ve CVE-2026-109619 PHP2Shell açıklarını düzelten 21 Ekim acil sürümünü izledi. Bunlar PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde düzeltildi. Yeni sorun ayrıdır ve bu sürümlerle düzeltilmiyor.
Yalnızca dar bir yapılandırma risk altındadır. PHP, sorunun bir web uygulaması aşağıdakilerin tümünü yaptığında ortaya thểbileceğini söylüyor: yapılandırmada session.serialize_handler seçeneğini php_binary veya php_serialize olarak ayarlar, ardından ini_set() çağırarak o seçeneği çalışırken php olarak değiştirir ve bunu session_start() çağırmadan önce yapar.
Session upload progress özelliği ayrıca açık olmalıdır. Çalışırken serialize handler’ı değiştirmeyen bir uygulama, özelliği açık bırakabilir ve bu yol üzerinden maruz kalmaz. PHP, bu yapılandırmanın pratikte olası olmadığını söylüyor.
Alınacak işlem bir satırdan ibaret. PHP, bir sonraki rutin hata düzeltme sürümüne kadar session.upload_progress.enabled=0 ayarlanmasını öneriyor. Bu, zaten 21 Ekim advisory’sinde CVE-2026-109619 için bir azaltma olarak listelenen aynı ayardır.
Bunu daha önce uygulayıp yerinde bırakan kimse, yeni sorun için daha fazla bir şey yapmasına gerek yok. Session upload progress varsayılan olarak açıktır ve bir uygulamanın bir dosya yükleme işleminin ilerlemesini izlemesine olanak tanır.
Gorsel Kaynagi: The Hacker News
Kurulumun sıradışı olması nedeniyle PHP, bu düzeltmeyi acil durum yerine düzenli sürüm döngüsünün bir parçası olarak ele alıyor ve CVE-2026-115560 için bir sonraki sürümle birlikte tam bir uyarı yayımlayacak.
PHP, hangi sürümlerin etkilendiğini, hangi sürümlerin düzeltmeyi içereceğini veya bir ciddiyet puanını açıklamadı. Ayrıca yeni sorunun CVE-2026-109619 ile aynı kök nedeli paylaşıp paylaşmadığını da belirtmedi.
CVE-2026-115560 için herhangi bir sömürüm bildirilmedi; 21 Ekim’den beri bildirilen saldırılar, PHP2Shell’in iki önceki açığına yöneliyor.
Ayrı olarak, PHP2Shell’in iki önceki açığının sömürülmesi girişimleri arttı. Amazon, tuzak sistemlerinin 17 Ekim’de CVE-2026-109618 ve CVE-2026-109619’a yönelik bir sömürüm girişimini logaladığını, açıklamadan dört gün önce olduğunu belirtti; Cloudflare ise 21 Ekim açıklamasından 45 dakika içinde on binlerle başlayan girişimlerin 22 Ekim sabahına kadar milyonlara ulaştığını söyledi.
Saldırganlar açıkları Mirai botnet’in bir varyantını kurmak için kullanmaya çalışıyor; bu konuda Sophos ve Arctic Wolf bilgi veriyor. Bu girişimler şu ana kadar başarısız oldu: Previdian, Wordfence ve başkaları tarama ve deneme yapıldığını ancak onaylanmış kod yürütme olmadığını bildiriyor; araştırmacılar ise güvenilir bir sömürümün beklenenden daha zor inşa edildiğini söylüyor. Bu faaliyet, 21 Ekim’de düzeltilen iki açaya yöneliyor, saldırı bildirilmemiş CVE-2026-115560’a değil.
Bu Gelişmeyi Toplulukta Değerlendirin
Haber hakkındaki düşüncelerinizi, donanım deneyimlerinizi ve teknik sorularınızı topluluk üyeleriyle anlık olarak tartışın.
Bu gelişme hakkında düşüncelerinizi, donanım deneyimlerinizi veya sorularınızı Topluluk Forumumuzda paylaşın.
Foruma Katıl & Yanıtla ➔
Söz sizde.
Deneyiminizi, sorularınızı ve katkılarınızı paylaşın. E-posta adresiniz yayımlanmaz.