Php'de Kritik Güvenlik Açığı! Sunucu Sahipleri ve Site Yöneticileri Dikkat

[XFSkins]

PHP’nin 5.4 ve sonraki sürümlerini etkilediği bildirilen, uzaktan kod çalıştırma (RCE) riski taşıyan kritik güvenlik açıkları gündemde. Güvenlik açıklarına ilişkin istismar yöntemlerinin kamuya açık hale gelmesi, özellikle PHP tabanlı web siteleri ve sunucu yöneticileri açısından ciddi bir risk oluşturuyor.

Hosting firmalarından da konuyla ilgili güvenlik uyarıları gelmeye başladı.

Güvenlik açığı nedir?

Bildirilen açıklardan biri, PHP’nin session.upload_progress özelliğiyle ilişkili. Belirli koşullarda bu mekanizmanın kötüye kullanılması, saldırganların sunucu üzerinde yetkisiz kod çalıştırmasına yol açabiliyor.

Başarılı bir saldırı sonucunda web sitesi dosyalarının değiştirilmesi, hassas bilgilerin ele geçirilmesi veya sunucu kaynaklarının kötüye kullanılması gibi sonuçlar ortaya çıkabilir.

Ancak her PHP kurulumunun doğrudan istismar edilebilir olduğunu söylemek doğru değil. Risk, sunucu yapılandırmasına ve saldırının gerektirdiği koşullara bağlı olarak değişebiliyor.

Geçici güvenlik önlemi

Güzel Hosting tarafından gönderilen bilgilendirmede, aşağıdaki PHP yapılandırmasının geçici önlem olarak uygulandığı belirtiliyor:

session.upload_progress.enabled = Off

Bu ayar, PHP’nin oturum tabanlı dosya yükleme ilerleme özelliğini devre dışı bırakıyor.

Önemli: Bu ayar tek başına tüm güvenlik açıklarını gidermiyor. Kalıcı çözüm, PHP tarafından yayımlanan güvenlik yamalarının uygulanması.

Hangi PHP sürümleri etkileniyor?

Güvenlik uyarılarında PHP 5.4 ve sonraki sürümlerden söz ediliyor. Ancak her sürümün aynı koşullarda etkilenip etkilenmediği ve hangi güvenlik düzeltmelerine ihtiyaç duyduğu resmî duyurular üzerinden değerlendirilmelidir.

21 Ekim 2026 tarihinde PHP 8.3, 8.4 ve 8.5 serileri için acil güvenlik güncellemeleri planlandığı bildirildi.

Site yöneticileri ne yapmalı?

• Hosting firmanızın güvenlik duyurularını takip edin.
• PHP sürümünüzü kontrol edin ve güvenlik yamaları yayımlandığında güncelleyin.
• session.upload_progress.enabled ayarının durumunu kontrol edin.
• Web sitesi dosyalarınızın ve veritabanınızın güncel yedeğini alın.
• Sunucu erişim ve hata kayıtlarında şüpheli faaliyetleri inceleyin.
• Kullandığınız CMS, forum yazılımı ve eklentileri güncel tutun.

XenForo kullanıcıları için durum

XenForo 2.3.x kullanan forum yöneticilerinin de konuyu dikkate almasında fayda var.

Söz konusu güvenlik riskleri doğrudan XenForo kaynaklı değil, sunucuda çalışan PHP ortamıyla ilişkili.

session.upload_progress.enabled özelliğinin kapatılması, XenForo’nun normal konu oluşturma, mesaj gönderme ve dosya eki yükleme işlemlerini genel olarak etkilememelidir. Ancak özel eklentilerin bu özelliğe bağımlı olması durumunda farklılıklar yaşanabilir.

Sonuç
PHP tabanlı bir web sitesi veya forum işletiyorsanız bu uyarıyı göz ardı etmeyin. Hosting firmanızın gerekli önlemleri uyguladığından emin olun ve güvenlik güncellemelerini takip edin.

Unutmayın: Geçici yapılandırma değişiklikleri, güvenlik yamalarının yerini tutmaz.


Kaynaklar:

• PHP resmî sitesi: PHP
• PHP güvenlik duyuruları: PHP: Releases
• CERT-FR: CERT-FR – Cert national et gouvernemental français

Gelişmeler oldukça konuyu güncelleyebiliriz.