Şirketinizin web sitesini PHP2Shell açığından sonra PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümüne güncellediyseniz doğru olanı yaptınız, ama bu her şeyi kapsamıyor. PHP projesi 23 Ekim 2026'da, 21 Ekim güncellemesinin kapatmadığı üçüncü bir açık olan CVE-2026-115560 hakkında yeni bir uyarı yayımladı. Açık alışılmadık bir yapılandırma gerektiriyor ve PHP bunu olası olmayan bir saldırı yolu olarak görüyor, ancak geçici çözüm basit: Ekibinizden veya barındırma firmanızdan bugün session.upload_progress.enabled ayarını 0 yapıp PHP'yi yeniden başlatmalarını isteyin, ardından 21 Ekim güncellemesinin gerçekten uygulandığını yazılı olarak teyit ettirin.

PHP 23 Ekim'de ne duyurdu?

Acil sürümden iki gün sonra proje, oturumlardaki «yükleme ilerlemesi» takibi hakkında kısa bir bilgilendirme uyarısı yayımladı. Bu özellik, kullanıcıya büyük bir dosyanın ne kadarının yüklendiğini gösterir. Uyarıya göre bu özellik belirli bir durumda uzaktan kod çalıştırmaya yol açabilir ve düzeltme acil güncellemeyle değil, bir sonraki düzenli sürümle, açıkla ilgili tam bir bildirimle birlikte gelecek.

Bir işletme sahibi için iki nokta önemli. Birincisi, bu ayrı bir açık; yani yukarıdaki dört sürümden birini kullanmak tek başına yetmiyor. İkincisi, aynı geçici önlem 21 Ekim'de CVE-2026-109619 bildiriminde zaten yer alıyordu. Ekibiniz o zaman uyguladıysa yeni bir şey gerekmez: ayarı olduğu gibi bırakın.

Siteniz risk altında mı?

PHP'nin uyarısına göre sorun yalnızca üç koşul bir araya geldiğinde ortaya çıkıyor:

  • PHP yapılandırması session.serialize_handler değerini php_binary veya php_serialize olarak ayarlıyor.
  • Uygulama kodu, oturum başlamadan önce ini_set() ile bu değeri çalışma anında php olarak değiştiriyor.
  • Oturum yükleme ilerleme takibi hâlâ açık; varsayılan olarak da açık geliyor.

Sitelerin çoğu bunu yapmaz. Sorun şu ki bir işletme sahibi, yıllar önce kurulmuş bir sistemin ya da eski bir eklentinin her satırının ne yaptığını nadiren bilir. Bu yüzden en güvenli seçenek şu: Siteniz dosya yüklerken ilerleme çubuğu göstermiyorsa özelliği kapatmak hiçbir şeyi bozmaz ve kapıyı kapatır. Siteniz buna dayanıyorsa geliştiricilerinize kodun bu ayarı çalışma anında değiştirip değiştirmediğini sorun.

Üç gün sonra: 21 Ekim güncellemesinin gerçekten uygulandığını kontrol edin

Asıl açıklar olan CVE-2026-109618 ve CVE-2026-109619 hâlâ daha büyük risk. Suudi Arabistan Ulusal Siber Güvenlik Otoritesi (NCA) bu açıklarla ilgili 2026-7949 numaralı uyarıyı yayımladı. ABD kurumu CISA ise tüm PHP sistemlerinin envanterinin çıkarılmasını, önce internete açık olanların yamalanmasını ve hemen yamalanamayan bir sistemin çevrimdışı alınmasını önerdi. CISA, yayım anında başarılı bir istismar görmediğini belirtti; bu, zamanın sizden yana olduğu anlamına gelmiyor.

Birçok kişinin atladığı üç nokta:

  • Yeniden yükleme değil, yeniden başlatma. Red Hat bülteni, yapılandırma değişikliklerinin PHP süreçlerinin yeniden başlatılmasını gerektirdiğini ve yalnızca yeniden yüklemenin yetmediğini belirtiyor.
  • Linux sunucularda sürüm numarası farklı olabilir. PHP duyurusu, Linux dağıtımlarının yamaları önceden aldığını söylüyor; yani düzeltme uygulanmış olsa bile örneğin 8.5.12'den farklı bir numara görebilirsiniz. Barındırma firmanızdan yalnızca bir numara değil, yazılı onay isteyin. Red Hat, RHEL 8, 9 ve 10 sürümlerinin hepsinin etkilendiğini belirtiyor.
  • PHP'nin çalışma şekli riski değiştirir. PHP projesi riski en yüksek Apache üzerinde mod_php için görürken Red Hat, varsayılan PHP-FPM ile istismarın pratikte daha zor olduğunu söylüyor. Daha zor, imkânsız demek değil; bu yüzden güncelleme her iki durumda da gerekli.

Barındırma firmanıza veya ekibinize bugün göndereceğiniz 5 soru

  1. Sitelerimizin ve sistemlerimizin her birinde hangi PHP sürümü çalışıyor ve bu sürüm 21 Ekim 2026 düzeltmelerini içeriyor mu?
  2. Güncellemeden sonra PHP süreçleri yalnızca yeniden yüklenmekle kalmayıp yeniden başlatıldı mı?
  3. session.upload_progress.enabled ayarını 0 yaptık mı? Yapmadıysak bu özelliğe gerçekten ihtiyacımız var mı?
  4. Sitemizin kodu session.serialize_handler değerini çalışma anında değiştiriyor mu?
  5. 8.1 veya daha eski sürümde çalışan bir sitemiz var mı? Bu sürümler artık desteklenmiyor ve desteklenen sürümler tablosu 8.2'nin güvenlik desteğinin 31 Aralık 2026'da sona erdiğini gösteriyor.

Origami'nin bakışı

Büyük bir açıktan sonra üç günde üç uyarı normaldir: Araştırmacılar dilin bir bölümünü kurcaladıklarında hemen yanındakini de bulurlar. Ama bu, şirketler hakkında da bir şey söylüyor. 21'inde yama yapıp konuyu kapatan, 23'ündeki uyarıyı kaçıracak. Burada güvenlik, bir kez bitirilen bir iş değil, sürekli bir takip.

Suudi şirketlerinde gördüğümüz şu: Zor soru «açık ne?» değil, «bizde bir cuma sabahı PHP uyarısını okuyup hangi sunucunun bize ait olduğunu kim biliyor?» sorusu. Origami olarak web siteleri ve sistemler kuruyor, güncellemelerini ilk günden itibaren takip ediyoruz. Sitenizi kontrol ettirmek veya bu ayarları hizmet kesintisi olmadan uygulatmak isterseniz bizimle iletişime geçin.

Sonuç

21 Ekim güncellemesi vazgeçilmez ve hâlâ en önemli adım; yeni uyarı bunu değiştirmiyor. Bugün buna ucuz bir adım ekleyin: İhtiyacınız yoksa yükleme ilerleme takibini kapatın, PHP'yi yeniden başlatın ve barındırma firmanızdan yazılı onay alın. Ardından CVE-2026-115560 için kalıcı düzeltmeyi getirecek bir sonraki düzenli PHP sürümünü takip edin.

Kaynaklar