PHP, PHP2Shell acil yamalarının ardından dar kurulumda yamalanmamış RCE riskine dikkat çekti

PHP, kritik PHP2Shell açıklarına acil yama çıkardıktan iki gün sonra, sunucuda kod çalıştırmanın başka bir yolunu duyurdu. Projeye göre yeni sorun CVE-2026-115560 olarak izleniyor ve yalnızca olağandışı yapılandırılmış web uygulamalarını etkiliyor. PHP bunu olası değil sayıyor ve acil düzeltme yayımlamıyor.

Yeni uyarı ve önerilen hafifletme

Uyarı 23 Ekim'deki kısa duyuruda geldi. PHP, sonraki rutin sürümde düzeltme çıkana kadar oturum yükleme ilerlemesinin kapatılmasını öneriyor. İşlem tek satır: sonraki rutin düzeltme sürümüne kadar session.upload_progress.enabled=0 yapın.

Bu, PHP'nin 21 Ekim'de CVE-2026-109619 için yayımladığı duyurudaki hafifletme ayarının aynısı. O zaman uygulayıp bırakanlar yeni sorun için ek işlem yapmaz. Bu özellik varsayılan açıktır ve dosya yükleme ilerlemesini izlemeyi sağlar.

Dar yapılandırma risk altında

PHP, sorunun bir web uygulaması şunların tümünü yaptığında oluşabileceğini söylüyor: yapılandırmada session.serialize_handler'ı php_binary veya php_serialize yapar, sonra çalışırken ini_set() ile php yapar ve bunu session_start() öncesinde yapar. Bu özellik de açık olmalıdır.

PHP'ye göre, çalışırken serialize işleyicisini hiç değiştirmeyen uygulama özelliği açık bırakabilir ve bu yoldan etkilenmez. Proje bunun pratikte olası olmadığını söylüyor. Kurulum yaygın olmadığından PHP düzeltmeyi acil değil olağan döngüde ele alıyor; CVE-2026-115560 için tam duyuru sonraki sürümle gelecek.

PHP etkilenen sürümleri, düzeltme sürümlerini veya önem puanını belirtmedi. CVE-2026-109619 ile ortak kök nedeni paylaşıp paylaşmadığını da söylemedi. Bu sorunun istismarı bildirilmedi.

Önceki PHP2Shell açıkları ve saldırı etkinliği

Yeni sorun, hesapsız saldırganın sunucuda kod çalıştırmasına izin veren iki kritik PHP2Shell açığını, CVE-2026-109618 ve CVE-2026-109619'u düzelten 21 Ekim acil sürümünden sonra geldi. Bunlar PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35'te yamalandı. Yeni sorun ayrıdır, bu sürümlerle düzeltilmez.

21 Ekim'den beri saldırılar önceki iki PHP2Shell açığını hedefliyor. İstismar girişimleri arttı. Amazon, honeypot'larının 17 Ekim'de, açıklanmalarından dört gün önce, CVE-2026-109618 ve CVE-2026-109619'a yönelik istismar girişimi kaydettiğini söyledi. Cloudflare, girişimlerin 21 Ekim açıklamasından 45 dakika içinde on binlerden 22 Ekim başlarında milyonlara çıktığını söyledi.

Sophos ve Arctic Wolf'a göre saldırganlar açıkları Mirai botnet varyantı yüklemeyi denedi. Girişimler şu ana kadar başarısız: Previdian, Wordfence ve diğerleri tarama/yoklama bildiriyor, doğrulanmış kod yürütme yok; araştırmacılar güvenilir istismarın beklenenden zor olduğunu söylüyor. Bu etkinlik 21 Ekim'de yamalanan iki açığı hedefliyor; saldırı altında olduğu bildirilmeyen CVE-2026-115560'ı değil.

Önceki: PHP2Shell yamaları çıktı: riskler ve PHP sitelerini koruma · VulnCheck, üretimde ASLR'yi atlayan PHP2Shell istismarı geliştirdi

Kaynaklar: The Hacker News · PHP · CERT-EU