CVE-2026-115560: PHP'deki yeni güvenlik açığı, henüz yaması yok
Yayınlandı 23.10.2026 · Önem derecesi : Orta · Güncellendi 27.10.2026
Ne oluyor: PHP, 23 Ekim 2026'da sunucuda uzaktan kod çalıştırmaya yol açabilecek yeni bir güvenlik açığını, CVE-2026-115560'ı açıkladı. Açık, PHP2Shell için yapılan düzeltmelerden iki gün sonra ortaya çıktı ve 21 Ekim'de yayımlanan güncel sürümler bu açığı engellemiyor.
Ne kadar ciddi: PHP'ye göre saldırı, olağan dışı bir ayar ve program kodu kombinasyonu gerektiriyor: web sitesinin çalışırken oturum verilerinin biçimini değiştirmesi ve yükleme ilerlemesi özelliğinin açık olması gerekiyor. Şu ana kadar saldırı bildirilmedi (CERT-FR, 27 Ekim 2026). PHP, hatayı bir sonraki normal sürümde düzeltecek.
Kimler etkileniyor: Yükleme ilerlemesi özelliğinin (session.upload_progress) açık olduğu PHP üzerinde çalışan web siteleri – bunlar arasında WordPress, Joomla, Drupal ve birçok çevrim içi mağaza bulunuyor. Bu özellik varsayılan olarak açıktır.
Ne yapmalısınız: PHP, yama yayımlanana kadar session.upload_progress.enabled=0 ayarının php.ini dosyasında veya sunucu yapılandırmasında değiştirilmesini ve PHP süreçlerinin yeniden başlatılmasını öneriyor. Bu ayar yalnızca dosya yüklenirken ilerleme göstermek için kullanılır; çoğu web sitesinde herhangi bir fark görülmez. PHP'nin bir sonraki sürümü yayımlandığında hemen güncellemeyi kurun.
Web sitenizin etkilenip etkilenmediğinden emin değil misiniz? Bize yazın, ne yapılması gerektiğini size söyleyelim.