PHP, yeni güvenlik sorununu olasılığı düşük bir risk olarak değerlendiriyor. Bu nedenle proje, acil bir yama yayımlamak yerine, bir sonraki rutin sürümde düzeltme sunulana kadar session upload progress özelliğinin devre dışı bırakılmasını öneriyor.
23 Ekim'de yayımlanan kısa bir bilgilendirme duyurusuyla açıklanan yeni sorun, PHP'nin 21 Ekim'de iki kritik PHP2Shell açığını gidermek için yayımladığı acil güncellemelerin ardından geldi.
CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen önceki açıklar, kullanıcı hesabı bulunmayan saldırganların sunucuda kod çalıştırmasına olanak tanıyordu.
Bu iki açık PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde giderildi. Ancak CVE-2026-115560, önceki açıklardan ayrı bir güvenlik sorunu ve söz konusu güncellemelerle giderilmiş değil.
PHP'ye göre yeni güvenlik sorunu, yalnızca belirli yapılandırma koşullarının bir araya geldiği web uygulamalarında ortaya çıkabiliyor.
Riskin oluşması için uygulamanın yapılandırmasında session.serialize_handler seçeneğinin başlangıçta php_binary veya php_serialize olarak ayarlanmış olması gerekiyor.
Ardından uygulamanın çalışması sırasında bu seçeneğin ini_set() fonksiyonuyla php olarak değiştirilmesi ve değişikliğin session_start() çağrısından önce gerçekleştirilmesi gerekiyor.
Bunlara ek olarak, session upload progress özelliğinin de etkin durumda olması şart.
Çalışma sırasında oturum serileştirme işleyicisini değiştirmeyen uygulamalar, session upload progress özelliğini açık tutabiliyor ve bu saldırı yolundan etkilenmiyor.
PHP, söz konusu yapılandırmanın uygulamalarda görülme olasılığının düşük olduğunu belirtiyor.
PHP, yeni güvenlik açığına yönelik düzeltme bir sonraki rutin hata düzeltme sürümünde yayımlanana kadar aşağıdaki ayarın kullanılmasını öneriyor:
session.upload_progress.enabled=0
Bu ayar, varsayılan olarak etkin olan ve uygulamaların dosya yükleme işlemlerinin ilerlemesini takip etmesini sağlayan session upload progress özelliğini kapatıyor.
Aynı önlem, PHP'nin 21 Ekim'de CVE-2026-109619 için yayımladığı güvenlik duyurusunda da yer alıyordu.
Dolayısıyla önceki duyurunun ardından bu ayarı uygulayan ve yerinde bırakan kullanıcıların yeni güvenlik sorunu için ek bir işlem yapması gerekmiyor.
PHP, alışılmadık yapılandırma koşulları nedeniyle yeni açığa yönelik düzeltmeyi acil güncelleme yerine normal sürüm takvimine dahil edecek. CVE-2026-115560 için kapsamlı güvenlik duyurusu da bir sonraki sürümle birlikte yayımlanacak.
Proje henüz hangi PHP sürümlerinin etkilendiğini, düzeltmenin hangi sürümlerde sunulacağını veya açığın güvenlik şiddeti puanını açıklamadı. Ayrıca yeni sorunun CVE-2026-109619 ile aynı temel nedenden kaynaklanıp kaynaklanmadığı da belirtilmedi.
CVE-2026-115560'ın istismar edildiğine ilişkin herhangi bir bildirim bulunmuyor.
21 Ekim'de yamalanan iki kritik PHP2Shell açığını hedef alan istismar girişimlerinde ise ciddi artış yaşandı.
Amazon, kendi tuzak sistemlerinin (honeypot) CVE-2026-109618 ve CVE-2026-109619 açıklarına yönelik bir istismar girişimini 17 Ekim'de kaydettiğini açıkladı. Bu tarih, açıkların kamuoyuna duyurulmasından dört gün öncesine denk geliyor.
Cloudflare ise 21 Ekim'deki açıklamayı izleyen 45 dakika içinde on binlerle ifade edilen saldırı girişimlerinin, 22 Ekim'in ilk saatlerinde milyonlara ulaştığını bildirdi.
Sophos ve Arctic Wolf'a göre saldırganlar, söz konusu güvenlik açıklarını kullanarak Mirai botnetinin bir varyantını yüklemeye çalıştı.
Ancak bu girişimler şimdiye kadar başarısız oldu. Previdian, Wordfence ve diğerleri tarama ve yoklama faaliyetleri tespit etse de doğrulanmış bir kod çalıştırma vakası bildirmedi.
Araştırmacılar, güvenilir şekilde çalışan bir istismar yönteminin geliştirilmesinin beklenenden daha zor olduğunu belirtiyor.
Bu saldırı faaliyetleri, 21 Ekim'de yamalanan iki PHP2Shell açığını hedef alıyor. Yeni duyurulan ve henüz yaması bulunmayan CVE-2026-115560'ın saldırılarda kullanıldığına ilişkin herhangi bir bildirim bulunmuyor.
Kaynak: The Hacker News
markasıdır.
Haber Gönder
Okuyucu Yorumları 0 yorum