Selamlar,
PHP ekibi 23 Ekim'de yamasız CVE-2026-115560 için geçici önlem olarak session.upload_progress.enabled=0 önerdi. İlginç olan şu: aynı satır, 21 Ekim'deki PHP2Shell (CVE-2026-109619) azaltım listesinde de vardı. Yani Çarşamba günü uyguladıysanız Cuma günkü yeni uyarı için ekstra işiniz yok. Bu kısa rehber, paylaşımlı hosting ve VPS'te ayarı nasıl doğru uygulayacağınızı anlatıyor.
Konuda anlatılacaklar
- Bu ayar ne işe yarar?
- Nereye yazılır?
- SAPI bazında doğrulama
- Ne bozulabilir?
- Yama ile birlikte kontrol listesi
1. Bu ayar ne işe yarar?
session upload progress, yükleme sırasında ilerlemeyi oturum verisine yazan varsayılan bir özelliktir. PHP2Shell ve CVE-2026-115560 zincirlerinde istismar yüzeyi olarak geçtiği için kapatılması öneriliyor. Özellik kapalıyken yükleme ilerleme çubuğu kullanan nadir uygulamalar bozulabilir.
2. Nereye yazılır?
Kod:
; /etc/php/8.3/fpm/php.ini (ornek yol)
; /etc/php/8.3/apache2/php.ini
session.upload_progress.enabled = 0Kod:
# FPM havuzunu yeniden yukleyin
systemctl reload php8.3-fpm
# veya Apache mod_php
systemctl reload apache23. Doğrulama
Kod:
php -i | grep -i upload_progress
# FPM icin
php-fpm8.3 -i 2>/dev/null | grep -i upload_progress
# veya kucuk bir info.php (sonra silin)
# <?php phpinfo();4. Ne bozulabilir?
Kendi yazdığınız veya eski bir eklentinin "upload progress" API'sini kullanması. Çoğu modern CMS varsayılanında bu özellik kritik değildir. Bozulma görürseniz özelliği geçici açmak yerine uygulamayı güncellemek veya ilerlemeyi başka yöntemleizlemek daha doğru.
5. Kontrol listesi
- Tüm SAPI'lerde ayarı Off yapın.
- PHP2Shell yamasını uygulayın (8.5.12 / 8.4.27 / 8.3.36 / 8.2.35).
- Uzun ömürlü worker'ları yeniden başlatın.
- CVE-2026-115560 için olağan sürümü izleyin; çıkınca yama + ayarı gözden geçirin.
- serialize_handler'ı çalışma zamanında değiştiren kod var mı diye arayın.
Kod:
grep -rn "serialize_handler\|ini_set.*session" /var/www --include=*.php | headHosting panelinizde bu ayarı merkezi mi yönetiyorsunuz, yoksa hesap başına mı?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar