Yeni PHP Güvenlik Açığı için Henüz Yama Bulunmuyor

PHP'de keşfedilen yeni CVE-2026-115560 güvenlik açığı uzaktan kod çalıştırma riski taşıyor. Henüz yaması olmayan açık için geçici önlemler neler?

Söz konusu güvenlik açığı, belirli oturum yapılandırmalarına sahip web uygulamalarını doğrudan etkiliyor. PHP geliştiricileri, henüz bir güvenlik yaması bulunmayan bu durum için geçici koruma yöntemlerini kullanıcılarla paylaştı.

PHP ekibi tarafından 23 Ekim 2026 tarihinde yayımlanan resmi duyuru, dosya yükleme işlemlerinin ilerlemesini takip eden oturum mekanizmasında bir uzaktan kod çalıştırma riski bulunduğunu ortaya koydu. Ancak bu güvenlik açığının kullanılabilmesi için uygulamanın oldukça alışılmışın dışında bir yapılandırmaya sahip olması gerekiyor.

Bu özel durum nedeniyle PHP ekibi, sorunu acil bir güncelleme yerine bir sonraki olağan hata düzeltme sürümüyle gidermeyi planlıyor. Yeni güvenlik açığı, 21 Ekim tarihinde ortaya çıkan ve PHP2Shell olarak bilinen iki kritik güvenlik sorunundan tamamen ayrı bir başlık olarak değerlendiriliyor.

CVE-2026-109618 ve CVE-2026-109619 kodlu önceki açıklar, kimlik doğrulaması gerektirmeden sunucuda uzaktan kod çalıştırılmasına olanak tanıyordu. PHP, bu sorunları gidermek amacıyla 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini hızlı bir şekilde yayımladı. Ancak bu güncellemeler, yeni keşfedilen CVE-2026-115560 açığını kapatma özelliğine sahip değil.