TurkTeam | Türk Siber Güvenlik Topluluğu - Sunucu ve Hosting Güvenliği

session.upload_progress.enabled=0: PHP Hosting'de Tek Satırlık Acil Önlem

Sat, 24 Oct 2026 11:36:33 +0300

Selamlar,

PHP ekibi 23 Ekim'de yamasız CVE-2026-115560 için geçici önlem olarak session.upload_progress.enabled=0 önerdi. İlginç olan şu: aynı satır, 21 Ekim'deki PHP2Shell (CVE-2026-109619) azaltım listesinde de vardı. Yani Çarşamba günü uyguladıysanız Cuma günkü yeni uyarı için ekstra işiniz yok. Bu kısa rehber, paylaşımlı hosting ve VPS'te ayarı nasıl doğru uygulayacağınızı anlatıyor.

Konuda anlatılacaklar

Bu ayar ne işe yarar?
Nereye yazılır?
SAPI bazında doğrulama
Ne bozulabilir?
Yama ile birlikte kontrol listesi

1. Bu ayar ne işe yarar?
session upload progress, yükleme sırasında ilerlemeyi oturum verisine yazan varsayılan bir özelliktir. PHP2Shell ve CVE-2026-115560 zincirlerinde istismar yüzeyi olarak geçtiği için kapatılması öneriliyor. Özellik kapalıyken yükleme ilerleme çubuğu kullanan nadir uygulamalar bozulabilir.

2. Nereye yazılır?

Kod:
; /etc/php/8.3/fpm/php.ini   (ornek yol)
; /etc/php/8.3/apache2/php.ini
session.upload_progress.enabled = 0

Kod:
# FPM havuzunu yeniden yukleyin
systemctl reload php8.3-fpm
# veya Apache mod_php
systemctl reload apache2

Sadece CLI php.ini'sini değiştirmek web'i korumaz.

3. Doğrulama

Kod:
php -i | grep -i upload_progress
# FPM icin
php-fpm8.3 -i 2>/dev/null | grep -i upload_progress
# veya kucuk bir info.php (sonra silin)
# 

Beklenen: session.upload_progress.enabled => Off



4. Ne bozulabilir?

Kendi yazdığınız veya eski bir eklentinin "upload progress" API'sini kullanması. Çoğu modern CMS varsayılanında bu özellik kritik değildir. Bozulma görürseniz özelliği geçici açmak yerine uygulamayı güncellemek veya ilerlemeyi başka yöntemleizlemek daha doğru.



5. Kontrol listesi

Tüm SAPI'lerde ayarı Off yapın.


PHP2Shell yamasını uygulayın (8.5.12 / 8.4.27 / 8.3.36 / 8.2.35).


Uzun ömürlü worker'ları yeniden başlatın.


CVE-2026-115560 için olağan sürümü izleyin; çıkınca yama + ayarı gözden geçirin.


serialize_handler'ı çalışma zamanında değiştiren kod var mı diye arayın.



Kod:
grep -rn "serialize_handler\|ini_set.*session" /var/www --include=*.php | head


Hosting panelinizde bu ayarı merkezi mi yönetiyorsunuz, yoksa hesap başına mı?



Yasal uyarı

Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.



Kaynaklarhttps://www.bleepingcomputer.com/news/se...erability/


https://thehackernews.com/2026/10/urgent...tched.html








  20-k05-php-upload-progress.png (Dosya Boyutu: 121.2 KB / İndirme Sayısı: 4)



ksmbd Çalışıyor mu? Linux Sunucuda Çekirdek SMB Modülünü Kontrol Etme ve Kapatma
Fri, 23 Oct 2026 11:31:46 +0300



Selamlar,



ZDI raporlarının herkese açık listeye düşmesiyle ksmbd'de iki yamasız RCE (ZDI-CAN-33774 ve ZDI-CAN-33549, CVSS 9.0) gündemde. Bunlardan biri kimlik doğrulaması gerektirmiyor ve 445 portunda ksmbd çalıştıran her sunucuyu etkiliyor. Çekirdek düzeltmesi dağıtımlara ulaşana kadar yapabileceğiniz en etkili şey, ksmbd'ye gerçekten ihtiyacınız olup olmadığını bilmek. Bu rehber adım adım kontrol ve kapatma yöntemini anlatıyor.



Konuda anlatılacaklar

ksmbd ile Samba farkı


ksmbd yüklü ve çalışıyor mu?


Kullanmıyorsanız: kapatma ve kara listeye alma


Kullanıyorsanız: saldırı yüzeyini daraltma


Doğrulama





ksmbd ile Samba farkı

Samba (smbd) kullanıcı alanında çalışan klasik SMB sunucusudur. ksmbd ise çekirdek belgelerine göre performans için çekirdek alanında çalışan bir SMB3 sunucusu; kullanıcı alanındaki ksmbd.mountd yardımcı servisiyle birlikte çalışır. Çekirdek alanında çalıştığı için bir bellek hatası doğrudan çekirdek seviyesinde sonuç doğurur. Red Hat'e göre RHEL varsayılan olarak ksmbd içermiyor; bazı NAS dağıtımları ve elle kurulmuş ksmbd-tools paketleri ise kullanıyor olabilir.



1. Kontrol

Kod:
# Modul yuklu mu?
lsmod | grep -w ksmbd
# Servis var mi, calisiyor mu?
systemctl status ksmbd 2>/dev/null | head -5
# 445'i kim dinliyor? (smbd mi ksmbd mi)
sudo ss -ltnp | grep ':445'
# Modul sistemde mevcut mu (yuklu olmasa bile)?
modinfo ksmbd 2>/dev/null | head -3
ss çıktısında süreç adı smbd ise Samba kullanıyorsunuz; süreç adı görünmüyor ama 445 dinleniyorsa ve lsmod ksmbd gösteriyorsa çekirdek sunucusu aktif demektir.



2. Kullanmıyorsanız: kapatın

Kod:
sudo systemctl disable --now ksmbd 2>/dev/null
sudo modprobe -r ksmbd
# Yeniden yuklenmesini engelle
echo "install ksmbd /bin/false" | sudo tee /etc/modprobe.d/disable-ksmbd.conf
echo "blacklist ksmbd" | sudo tee -a /etc/modprobe.d/disable-ksmbd.conf
# initramfs'i guncelle (Debian/Ubuntu)
sudo update-initramfs -u
modprobe -r "module is in use" hatası verirse önce paylaşımları kapatın (servis durdurulmalı), gerekirse bakım penceresinde yeniden başlatın.



3. Kullanıyorsanız: yüzeyi daraltın445'i internete açmayın. Yalnızca güvenilir LAN veya VPN aralığına izin verin.


Misafir (guest) paylaşımlarını kapatın. pwn.watch'a göre dağıtım yarışı açığı misafir paylaşımı gerektiren senaryoda tetikleniyor; The Hacker News'e göre ise ön-kimlik doğrulama yolu da var. İkisini birden daraltmak gerekiyor.


SMB Direct/RDMA kullanmıyorsanız rdma_rxe gibi yazılım RDMA sürücülerini yüklemeyin.


Mümkünse geçici olarak Samba'ya geçin.



Kod:
# nftables ornegi: 445'i yalnizca 192.168.10.0/24'e ac
sudo nft add rule inet filter input tcp dport 445 ip saddr != 192.168.10.0/24 drop
# ksmbd.conf icinde misafiri kapat (yol dagitima gore degisir)
grep -n "guest ok\|map to guest" /etc/ksmbd/ksmbd.conf


4. Doğrulama

Kod:
lsmod | grep -w ksmbd || echo "ksmbd yuklu degil"
sudo ss -ltnp | grep ':445' || echo "445 dinlenmiyor"
# Dis agdan (izinli, kendi sunucunuz) kontrol
nmap -Pn -p445 SUNUCU_IP


Takip

Düzeltmeler mainline'a girip CVE atandığında dağıtımınızın çekirdek güncellemesini kurun ve yeniden başlatın. O zamana kadar bu konuyu kendi envanterinizde "açık risk" olarak işaretleyin.



Kontrol sonucunuz ne çıktı: Samba mı, ksmbd mi, hiçbiri mi? Özellikle NAS kullananların deneyimini merak ediyorum.



Yasal uyarı

Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.



Kaynaklarhttps://thehackernews.com/2026/10/two-cv...flaws.html


https://docs.kernel.org/filesystems/smb/ksmbd.html


https://pwn.watch/d/2026-10-22








  12-b02-ksmbd-kontrol-kapatma.png (Dosya Boyutu: 119.92 KB / İndirme Sayısı: 6)



PHP2Shell Sonrası Hosting Operasyonu: Envanter, Yama, Restart, Doğrulama
Thu, 22 Oct 2026 11:36:46 +0300



Selamlar,



PHP2Shell yamaları çıktı; ama birçok ekip "apt upgrade yaptık" deyip eski FPM süreçlerinin yaşamaya devam ettiğini günler sonra fark ediyor. Bu yazı hosting / SRE tarafı için operasyonel bir kontrol listesi: envanter, yama, restart, doğrulama.



Konuda anlatılacaklar

CLI PHP ile web PHP neden farklı olabilir?


Hangi süreçleri yeniden başlatmalısınız?


Konteyner ve paylaşımlı hosting farkı


Doğrulama komutları





Envanter

CISA'nın uyarısı: PHP çoğu zaman başka yazılımların bileşeni olarak gelir ve varlığı doğrudan görünmeyebilir. WordPress, Drupal, Joomla, Laravel, Magento, phpMyAdmin, matomo, çeşitli panel yazılımları...

Kod:
# Debian/Ubuntu
dpkg -l 'php*' | awk '/^ii/ {print $2, $3}'
# RHEL ailesi
rpm -qa 'php*'
# Calisan surecler
ps aux | grep -E 'php-fpm|apache2|httpd|lsphp|frankenphp' | grep -v grep
# Web'in gordugu surum (kendi sunucunuzda gecici phpinfo)
# echo ' /var/www/html/v.php
# curl -sS http://127.0.0.1/v.php && rm /var/www/html/v.php


Yama hedefleri

Kod:
8.5.12 | 8.4.27 | 8.3.36 | 8.2.35
EOL dallar (8.1 ve öncesi) için resmi sürüm yok; dağıtım backport'u veya kaynak backport. Changelog'da CVE-2026-109618 ve CVE-2026-109619 arayın; sürüm numarası yanıltıcı olabilir.



Restart listesi

Carthage / PHP ekibinin vurgusu: paket güncellendi diye iş bitmez.Apache (mod_php) veya PHP-FPM havuzları


LiteSpeed / lsphp


FrankenPHP


Uzun ömürlü worker'lar: kuyruk işçileri, Laravel Octane, Swoole, RoadRunner


Konteyner: yeniden başlatma değil, yamalı base ile rebuild + redeploy





Kod:
# Ornek (Debian, PHP 8.3 FPM + Apache)
sudo apt-get update
sudo apt-get install --only-upgrade php8.3-fpm php8.3-cli libapache2-mod-php8.3
sudo systemctl restart php8.3-fpm apache2
# Supervisor altindaki worker'lar
sudo supervisorctl restart all
# Surum dogrulama
php -v
curl -sS http://127.0.0.1/v.php


Paylaşımlı hosting

Müşteri olarak WordPress çekirdeğini veya eklentiyi güncellemek PHP runtime'ını güncellemez. Barındırma firmanızdan yazılı teyit isteyin: "Sitemizi sunan PHP sürümü 21 Ekim 2026 PHP2Shell düzeltmesini içeriyor mu?" Teyit gelene kadar WAF ve geçici php.ini kısıtları (session.upload_progress.enabled=0 vb.) riski azaltır ama güvenli yapmaz.



Yama sonrası kısa avUpload / cache dizinlerinde tanınmayan .php


Yeni yönetici kullanıcıları


Bellek limiti / 500 hata dalgalarıyla biten multipart POST'lar


İnternete açık kalmışsa: DB parolası, API anahtarı, salt rotasyonu





Kaç sunucuda CLI ile web PHP sürümü farklı çıktı? Deneyiminizi yazın.



Yasal uyarı

Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.



Kaynaklarhttps://www.cisa.gov/news-events/alerts/...e-patching


https://www.bleepingcomputer.com/news/se...ell-flaws/


https://carthageelectronics.com/october-...eat-brief/








  19-k04-php-yama-operasyon.png (Dosya Boyutu: 116.36 KB / İndirme Sayısı: 14)



Nginx Güvenlik Sıkılaştırma: TLS Header ve Rate Limit Rehberi
Fri, 16 Oct 2026 11:19:43 +0300



Nginx Güvenlik Sıkılaştırma Rehberi (1.31.x)



Merhaba,



Nginx hâlâ en yaygın ters vekillerden biri. Bu rehberde kendi sunucunuzda TLS, güvenlik başlıkları ve basit rate limit uygulamayı anlatıyoruz. Örnekler nginx 1.31.7 ana hattına yakındır; kendi sürümünüzü nginx -v ile doğrulayın.



Konuda Anlatılacaklar

TLS yapılandırması


Güvenlik başlıkları


Rate limiting


Gizli dosya ve yöntem kısıtlama


Doğrulama komutları





1) TLS

Kod:
# /etc/nginx/conf.d/ssl-params.conf (örnek)
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:10m;
# HSTS (yalnızca HTTPS tamamen hazırsa)
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;


2) Güvenlik Başlıkları

Kod:
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Content-Security-Policy "default-src 'self'" always;
# server_tokens off;  # sürüm bilgisini gizle


3) Rate Limit

Kod:
# http {} bloğunda
limit_req_zone $binary_remote_addr zone=login:10m rate=5r/m;
# sunucu / konumda
location /login {
    limit_req zone=login burst=10 nodelay;
    proxy_pass http://app_backend;
}


4) Ek Sertleştirme

Kod:
location ~ /\.(git|env|ht) {
    deny all;
    return 404;
}
if ($request_method !~ ^(GET|HEAD|POST)$) {
    return 405;
}


5) Doğrulama

Kod:
sudo nginx -t && sudo systemctl reload nginx
curl -I https://sizin-alanadiniz.ornek
# SSL Labs veya testssl.sh ile TLS notunu ölçün (kendi alanınızda)


KaynakçaNginx Documentation


Mozilla SSL Configuration Generator


OWASP Secure Headers Project





Görsel: TurkTeam özgün kapak görseli.



Alıntı:Yasal Uyarı: Bu ayarlar yalnızca yönettiğiniz sunucularda uygulanmalıdır.





  tonyukuk-19.jpg (Dosya Boyutu: 99.44 KB / İndirme Sayısı: 13)