PHP’de Yeni Güvenlik Açığı CVE-2026-115560: WordPress Siteleri ve Sunucular Ne Yapmalı?

25 Ekim 2026 | Appletürk Güvenlik

Bir web sitesinin güvenliği söz konusu olduğunda bazen en büyük risk, herkesin bildiği bir yazılımın en az konuşulan özelliklerinden birinde saklanır. PHP’de gündeme gelen CVE-2026-115560 güvenlik açığı da bu açıdan dikkat çekici. Sorun, PHP’nin oturum yönetimiyle ilişkili bir mekanizmanın, alışılmadık bir yapılandırma ve uygulama davranışı bir araya geldiğinde güvenlik riski oluşturabilmesi.

PHP ekibi, 23 Ekim 2026 tarihinde yayımladığı bilgilendirmede bu sorunun belirli koşullar altında uzaktan kod çalıştırma riski oluşturabileceğini açıkladı. Açığın gerçekleşmesi için yalnızca PHP kullanılması yeterli değil. Uygulamanın oturum serileştirme işleyicisini belirli bir şekilde yapılandırması, çalışma sırasında değiştirmesi ve oturum yükleme ilerlemesi özelliğinin etkin kalması gerekiyor.

Burada önemli bir ayrıntı var: Bu açıklama, bütün WordPress sitelerinin saldırıya açık olduğu anlamına gelmiyor. Ancak PHP tabanlı web uygulamaları, özel geliştirilmiş paneller, dosya yükleme sistemleri ve sunucu yapılandırmaları açısından kontrol edilmesi gereken yeni bir güvenlik başlığı ortaya çıkmış durumda.

Üstelik PHP ekibinin duyurusuna göre 21 Ekim’de yayımlanan acil güvenlik güncellemeleri bu yeni açığı kapsamıyor. Dolayısıyla yalnızca o güncellemeleri yüklemiş olmak, CVE-2026-115560 için tek başına yeterli bir çözüm değil.

Bu rehberde açığın teknik mantığını, hangi koşullarda risk oluşturduğunu, WordPress kullanıcılarının ne yapması gerektiğini ve sunucu yöneticilerinin alabileceği geçici önlemleri ayrıntılı biçimde ele alıyoruz.

CVE-2026-115560 Nedir?

CVE-2026-115560, PHP’nin oturum yükleme ilerlemesi ve oturum serileştirme mekanizmalarıyla ilişkili, belirli yapılandırma koşullarında uzaktan kod çalıştırma riski doğurabilen bir güvenlik açığıdır.

CVE, yani Common Vulnerabilities and Exposures, kamuya açıklanan güvenlik açıklarının ortak kimliklerle takip edilmesini sağlayan sistemdir. Her CVE numarası, belirli bir güvenlik sorununu diğerlerinden ayırmak için kullanılır.

Bu numaranın haberlerde yer alması, PHP’nin bütün sürümlerinde aynı koşullarda ve aynı kolaylıkla istismar edilebildiği anlamına gelmez. Güvenlik değerlendirmesinde açığın hangi bileşende bulunduğu kadar, hangi yapılandırmaların gerekli olduğu ve saldırganın hangi yeteneklere sahip olması gerektiği de önemlidir.

PHP ekibinin 23 Ekim tarihli açıklamasında üç temel koşul özellikle belirtiliyor:

• Uygulama, yapılandırmada session.serialize_handler değerini php_binary veya php_serialize olarak belirlemiş olmalı.
• Uygulama, session_start() çağrısından önce çalışma zamanında ini_set() kullanarak bu işleyiciyi php değerine değiştirmeli.
• session.upload_progress.enabled özelliği etkin kalmalı.

PHP ekibine göre çalışma zamanında bu değişikliği yapmayan uygulamalar, açıklanan saldırı yolu üzerinden etkilenmiyor. Bu nedenle açık, her PHP kurulumunda aynı şekilde çalışan genel bir güvenlik açığı olarak değerlendirilmemeli.

Uzaktan Kod Çalıştırma (RCE) Neden Bu Kadar Önemli?

Güvenlik dünyasında RCE, Remote Code Execution ifadesinin kısaltmasıdır. Türkçede uzaktan kod çalıştırma olarak kullanılır.

Bir saldırganın uzaktan kod çalıştırabilmesi, hedef sistemde uygulamanın normal işleyişinin dışında komut veya kod çalıştırma fırsatı elde edebilmesi anlamına gelir. Etkinin boyutu, açığın niteliğine ve uygulamanın çalıştığı hesabın yetkilerine bağlıdır.

Bir PHP uygulaması web sunucusunun sınırlı yetkilere sahip hesabıyla çalışıyorsa saldırganın elde edebileceği yetkiler de bu hesapla sınırlı olabilir. Ancak bu durum riski önemsiz hale getirmez.

Uygulama hesabının erişebildiği verilere ve dosyalara bağlı olarak olası sonuçlar şunları içerebilir:

• Web uygulamasının tuttuğu bazı verilere yetkisiz erişim.
• Uygulama yapılandırmalarında bulunan ve yeterince korunmayan gizli bilgilere erişim riski.
• Web sitesinin içeriğinin değiştirilmesi veya kötü amaçlı dosyalarla karşılaşılması.
• Uygulama hesabının yetkileri ölçüsünde sistem komutlarının çalıştırılması.
• Aynı sunucuda bulunan diğer uygulamalara yönelik ek saldırı girişimleri.
• Web sitesinin hizmet verememesi veya güvenilirliğini kaybetmesi.

Bunlar RCE sınıfındaki açıkların doğurabileceği genel sonuçlardır. CVE-2026-115560 için her sistemde bu sonuçların tamamının gerçekleştiği söylenemez. Gerçek etki, hedef uygulamanın yapılandırmasına, koduna, bağımlılıklarına ve sunucu izinlerine göre değişir.

Önemli ayrım: Bir güvenlik açığının RCE riski taşıması, her saldırı denemesinin otomatik olarak sunucunun tam kontrolünü sağlayacağı anlamına gelmez. Bununla birlikte yetkisiz kod çalıştırma ihtimali, özellikle internete açık sistemlerde ciddiye alınması gereken bir güvenlik problemidir.

Sorunun Merkezinde PHP Session Mekanizması Var

PHP, kullanıcıların web uygulamalarıyla etkileşimleri sırasında bazı bilgileri istekler arasında korumak için oturum, yani session mekanizmasını kullanır.

Örneğin bir kullanıcı yönetim paneline giriş yaptığında uygulama, kullanıcıya ait oturum bilgisini sonraki isteklerle ilişkilendirebilir. Böylece kullanıcı her sayfada yeniden giriş yapmak zorunda kalmaz.

PHP oturumlarının nasıl saklandığı ve serileştirildiği, yapılandırma seçenekleriyle yönetilir. Bu noktada session.serialize_handler ayarı devreye girer.

Serileştirme, verilerin belirli bir biçime dönüştürülerek saklanmasını veya aktarılmasını sağlayan bir işlemdir. Oturum mekanizması da oturum verilerinin nasıl kodlanıp çözümleneceğini belirleyen bir işleyici kullanır.

Farklı serileştirme biçimleri bulunmasının nedeni, PHP’nin farklı uygulama ihtiyaçlarını desteklemesidir. Ancak bir uygulamanın aynı oturum verisini işlerken kullandığı biçimi tutarsız biçimde değiştirmesi, güvenlik açısından beklenmeyen durumlar oluşturabilir.

CVE-2026-115560’ın önemli noktası, tek başına bir serileştirme seçeneğinin kullanılması değil; başlangıç yapılandırması ile uygulamanın çalışma sırasında yaptığı değişiklik arasındaki özel kombinasyondur.

session.serialize_handler Ne İşe Yarar?

session.serialize_handler, PHP’nin oturum verilerini serileştirmek ve yeniden okumak için kullandığı işleyiciyi belirler.

PHP’nin desteklediği işleyiciler arasında farklı veri biçimleriyle çalışan seçenekler bulunur. Açığın teknik açıklamasında özellikle şu üç değer önem taşıyor:

Ayar değeri	Teknik anlamı	Açık açısından önemi
php	PHP’nin standart oturum serileştirme biçimini kullanır.	Çalışma sırasında geçiş yapılan hedeftir.
php_binary	Oturum verilerini farklı bir ikili biçimde serileştirir.	Açıklanan senaryoda başlangıç yapılandırmalarından biridir.
php_serialize	Oturum verilerini PHP’nin serileştirme mekanizmasını kullanarak işler.	Açıklanan senaryoda diğer başlangıç yapılandırmasıdır.

Burada şu sonucu çıkarmamak gerekiyor: php_binary veya php_serialize kullanmak kendi başına bu açığın oluştuğunu göstermez.

PHP ekibinin açıklamasına göre asıl önemli koşul, uygulamanın başlangıçta bu değerlerden birini kullanırken oturum başlatılmadan önce işleyiciyi çalışma zamanında php olarak değiştirmesi ve oturum yükleme ilerlemesi özelliğinin etkin kalmasıdır.

session.upload_progress.enabled Neden Kritik?

PHP’nin oturum yükleme ilerlemesi özelliği, bazı uygulamaların dosya yükleme işleminin ne kadar ilerlediğini takip etmesine yardımcı olur.

Örneğin bir kullanıcı büyük bir dosyayı web sitesine yüklerken arayüzde ilerleme bilgisi göstermek isteyebilirsiniz. Bu mekanizma, uygun yapılandırmalar altında yükleme işlemiyle ilişkili ilerleme verilerinin PHP oturumuyla bağlantılı olarak izlenmesini sağlar.

Bu özellik her WordPress sitesinin temel işlevlerini yerine getirmesi için zorunlu değildir. Ancak bazı özel uygulamalar dosya yükleme sürecindeki ilerleme bilgilerini bu mekanizma üzerinden takip edebilir.

CVE-2026-115560 açısından kritik nokta, oturum yükleme ilerlemesi özelliğinin açıklanan yapılandırma kombinasyonunda saldırı yolunun bir parçası olmasıdır.

PHP ekibi bu nedenle geçici önlem olarak şu ayarın kapatılmasını öneriyor:

session.upload_progress.enabled = 0

Bu ayar, PHP’nin oturum yükleme ilerlemesi özelliğini devre dışı bırakır. Ancak bu değişiklik bir güvenlik yamasının yerine geçen genel bir çözüm değil, ilgili saldırı yoluna karşı önerilen geçici azaltma önlemidir.

Açık Her WordPress Sitesini Etkiliyor mu?

Bu soru özellikle WordPress kullanan site sahipleri için önemli. Çünkü WordPress’in kendisi PHP ile geliştirilmiştir ve çok sayıda tema ile eklenti de PHP kodu çalıştırır.

Ancak WordPress kullanmak ile CVE-2026-115560 için açıklanan bütün koşulları taşımak aynı şey değildir.

PHP ekibinin açıklamasına göre risk, belirli bir çalışma zamanı yapılandırma değişikliği gerektiriyor. Dolayısıyla yalnızca WordPress kullandığınız için sitenizin kesinlikle savunmasız olduğunu söylemek doğru olmaz.

Diğer taraftan, bir WordPress sitesinin riskini yalnızca WordPress’in standart koduna bakarak değerlendirmek de yeterli olmayabilir. Özel geliştirilmiş eklentiler, özel oturum yönetimi yapan kodlar veya aynı PHP ortamında çalışan başka uygulamalar yapılandırmayı etkileyebilir.

Özellikle şu ortamların kontrol edilmesi mantıklıdır:

• Özel PHP uygulamaları ve yönetim panelleri.
• Dosya yükleme ve oturum yönetimi yapan özel kodlar.
• session.serialize_handler değerini değiştiren uygulamalar.
• WordPress ile aynı PHP çalışma ortamını paylaşan diğer uygulamalar.
• PHP yapılandırmasını veya oturum yönetimini değiştiren eklentiler ve özel entegrasyonlar.

Standart WordPress kurulumu kullanan ve oturum serileştirme işleyicisini çalışma sırasında değiştirmeyen bir uygulama, PHP ekibinin açıkladığı bu özel saldırı yolundan etkilenmez. Yine de hosting sağlayıcısının PHP yapılandırması ve kurulu ek yazılımlar kontrol edilmelidir.

PHP’nin 21 Ekim Güvenlik Güncellemeleri Bu Açığı Kapattı mı?

Hayır. Burada iki ayrı güvenlik duyurusunu birbirine karıştırmamak gerekiyor.

PHP ekibi 21 Ekim 2026 tarihinde CVE-2026-109618 ve CVE-2026-109619 için kritik güvenlik güncellemeleri yayımladı. Bu iki açık, PHP’nin istek işleme ve bellek yönetimi süreçleriyle ilişkili farklı uzaktan kod çalıştırma riskleriydi.

İki açık için yayımlanan güncellemeler arasında şu sürümler bulunuyordu:

PHP dalı	21 Ekim’de duyurulan güncelleme
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35

Bu sürümler, 21 Ekim’de duyurulan iki kritik açığa yönelik düzeltmeleri içeriyor. Ancak PHP ekibinin 23 Ekim tarihli açıklamasına göre CVE-2026-115560 bu güncellemelerle giderilmiş değil.

Bu ayrım güvenlik yönetimi açısından son derece önemli. Bir sistemin en son yayımlanan sürüme güncellenmiş olması genellikle iyi bir uygulamadır, ancak belirli bir CVE için düzeltmenin o sürüme dahil edilip edilmediği ayrıca kontrol edilmelidir.

Başka bir ifadeyle, PHP sürümünüzü güncelleyin; ancak CVE-2026-115560 için geçici önlemin de uygulandığını doğrulayın.

Şu Anda Resmî Bir Yama Var mı?

PHP ekibinin 23 Ekim 2026 tarihli duyurusunda CVE-2026-115560 için tam teknik açıklamanın bir sonraki düzenli hata düzeltme sürümüyle yayımlanacağı belirtiliyor.

Bu duyuruda acil bir güvenlik sürümünün hemen yayımlanacağı ifade edilmiyor. PHP ekibi, sorunun yalnızca alışılmadık bir yapılandırma ve uygulama kodu kombinasyonunda ortaya çıkabilmesini gerekçe göstererek konuyu düzenli sürüm döngüsünde ele alıyor.

Bu nedenle 25 Ekim 2026 itibarıyla en güvenli yaklaşım, PHP’nin resmî duyurularını takip etmek ve geçici önlemi uygulamaktır.

Önemli bir ayrıntı daha var: PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinin yayımlanmış olması, CVE-2026-115560’ın da bu sürümlerde giderildiğini göstermez. PHP’nin 23 Ekim tarihli açıklaması, bu yeni açığın söz konusu güncellemelerle kapatılmadığını açıkça belirtiyor.

Sunucu Yöneticileri İçin Geçici Çözüm

PHP ekibinin önerdiği geçici önlem, oturum yükleme ilerlemesi özelliğini devre dışı bırakmaktır:

session.upload_progress.enabled = 0

Bu ayarın hangi dosyada veya panelde yapılacağı, sunucunun PHP’yi nasıl çalıştırdığına bağlıdır. PHP-FPM, Apache mod_php, kontrol panelleri ve konteyner tabanlı sistemler farklı yapılandırma yöntemleri kullanabilir.

1. php.ini üzerinden yapılandırma

Sunucu yönetimi sizdeyse ve kullanılan PHP yapılandırması buna izin veriyorsa, ilgili PHP yapılandırma dosyasına şu satır eklenebilir veya mevcut değer bu şekilde düzenlenebilir:

session.upload_progress.enabled = 0

Doğru dosyayı değiştirdiğinizden emin olun. Komut satırında çalışan PHP ile web isteklerini işleyen PHP farklı yapılandırma dosyaları kullanabilir.

2. PHP-FPM kullanan sunucular

PHP-FPM kullanılan sistemlerde ayar, sunucunun yönetim politikasına uygun biçimde ana PHP yapılandırmasında veya ilgili FPM havuzunun yapılandırmasında uygulanabilir.

Örneğin yöneticinin kontrol ettiği uygun bir FPM havuzu yapılandırmasında şu tür bir ayar kullanılabilir:

php_admin_value[session.upload_progress.enabled] = 0

Bu satırın geçerli olacağı dosya ve bölüm, PHP-FPM yapılandırmasına bağlıdır. Yapılandırma dosyalarını değiştirmeden önce mevcut ayarları ve dağıtımınıza özgü dokümantasyonu kontrol edin.

3. Apache mod_php kullanan sunucular

Apache’nin PHP modülünü kullanan sistemlerde ayarın uygulanacağı yer, sunucu yapılandırmasına ve dağıtımın kullandığı yönteme göre değişebilir.

Sunucu yöneticisi, PHP’nin web istekleri için kullandığı yapılandırmada değerin gerçekten 0 olduğunu doğrulamalıdır. Sadece komut satırında görülen değere güvenmek doğru değildir.

4. Paylaşımlı hosting kullanan WordPress siteleri

Paylaşımlı hosting kullanıyorsanız php.ini dosyasını değiştirme yetkiniz olmayabilir. Böyle bir durumda sunucu yapılandırmasına müdahale etmeye çalışmak yerine hosting sağlayıcınıza başvurun.

Destek ekibine aşağıdaki talebi iletebilirsiniz:

Merhaba, PHP ekibinin 23 Ekim 2026 tarihli CVE-2026-115560 güvenlik duyurusuna göre, geçici önlem olarak web isteklerini işleyen PHP yapılandırmasında session.upload_progress.enabled=0 ayarının uygulanıp uygulanmadığını kontrol etmenizi rica ediyorum. Ayarın web çalışma ortamında etkin olduğunu ve gerekli PHP işçilerinin yeniden başlatıldığını teyit edebilir misiniz?

Bu talep, hosting sağlayıcısının hem yapılandırmayı hem de ilgili PHP çalışma ortamını kontrol etmesini sağlar.

Önemli: Ayarı Yalnızca ini_set() ile Değiştirmeyin

PHP’nin duyurusunda önerilen önlemin yapılandırma düzeyinde uygulanması gerekiyor. Sadece uygulama kodunun içinde ini_set() çağırarak bu ayarı değiştirmeye güvenmeyin.

Örneğin aşağıdaki kodu bir WordPress eklentisine veya wp-config.php dosyasına eklemek, PHP ekibinin önerdiği sunucu düzeyindeki önlemin yerine geçmez:

ini_set('session.upload_progress.enabled', '0');

Bu kod örneği uygulanması önerilen çözüm değildir. Amaç, neden yalnızca uygulama koduna eklenen bir ayara güvenilmemesi gerektiğini göstermektir.

PHP’nin isteği işlerken kullandığı yapılandırmanın uygun aşamada uygulanması gerekir. Bu nedenle sunucu yöneticileri PHP-FPM havuzu, ana PHP yapılandırması veya sunucu tarafından kontrol edilen uygun yapılandırma yöntemini tercih etmelidir.

Benzer biçimde, yalnızca bir .user.ini dosyasına satır eklemenin yeterli olduğunu varsaymayın. PHP ekibinin önceki güvenlik açıklamasındaki öneriler, bu tür önlemlerin istek işleme başlamadan önce uygulanmasını ve çalışma ortamının doğru yapılandırıldığının doğrulanmasını vurguluyor.

Bu Ayarı Kapatmak Web Sitesini Bozar mı?

session.upload_progress.enabled=0 ayarı, PHP’nin yerleşik oturum yükleme ilerlemesi özelliğini devre dışı bırakır. Bu nedenle temel etkisi, uygulamaların bu mekanizma üzerinden elde ettiği dosya yükleme ilerleme verilerini artık alamamasıdır.

Birçok web sitesi bu özelliği hiç kullanmadığından, ayarın kapatılması sitenin normal sayfa görüntüleme, yazı yayımlama veya kullanıcı girişi gibi işlevlerini doğrudan etkilemeyebilir.

Ancak bu durum her uygulama için garanti edilemez. Dosya yükleme sırasında PHP’nin yerleşik session upload progress verisini kullanan özel uygulamalar, bu özelliği kapattıktan sonra ilerleme göstergelerini kaybedebilir veya ilgili işlevlerde değişiklik yapmak zorunda kalabilir.

Bu nedenle uygulamayı değiştirmeden önce şu sorulara cevap arayın:

• Dosya yükleme arayüzünüz PHP’nin yerleşik oturum ilerleme özelliğine bağlı mı?
• Uygulama, ilerleme verisini özel bir oturum mekanizmasıyla mı okuyor?
• Değişiklikten sonra büyük dosya yüklemeleri normal şekilde devam ediyor mu?
• İşlem tamamlandıktan sonra ilgili uygulama günlüklerinde hata oluşuyor mu?

Gerekirse ayarı önce test ortamında uygulayın. Canlı sistemlerde ise değişiklikten sonra dosya yükleme işlevlerini ve ilgili uygulama günlüklerini kontrol edin.

Ayarı Değiştirdikten Sonra PHP İşçilerini Yeniden Başlatın

Yapılandırma dosyasına bir satır eklemek, çalışan bütün PHP süreçlerinin yeni değeri hemen kullanacağı anlamına gelmez.

PHP-FPM veya benzer bir çalışma modeli kullanıyorsanız, yapılandırma değişikliğinin geçerli olması için ilgili PHP işçilerinin yeniden başlatılması gerekebilir. PHP ekibinin önceki güvenlik açıklamasındaki öneriler de geçici önlemlerin uygulanmasının ardından çalışan işçilerin yeniden başlatılmasını vurguluyor.

İşlemden sonra şu kontrolleri gerçekleştirin:

1. Değişikliğin doğru PHP yapılandırmasına uygulandığını doğrulayın.
2. İlgili PHP-FPM havuzunu veya PHP çalışma ortamını yeniden başlatın.
3. Web isteklerini işleyen PHP’nin ayarı gerçekten 0 olarak kullandığını kontrol edin.
4. WordPress yönetim panelini ve sitenin ön yüzünü test edin.
5. Dosya yükleme özelliklerini ve uygulama günlüklerini inceleyin.

Yeniden başlatma komutu işletim sistemine, PHP kurulumuna ve hosting altyapısına göre değişir. Bu nedenle üretim ortamında rastgele servis komutları çalıştırmak yerine sunucunuzun dokümantasyonunu izleyin.

PHP Sürümünü Kontrol Etmek Neden Hâlâ Gerekli?

CVE-2026-115560 için geçici önlem uygulamak, PHP’yi güncel tutma gerekliliğini ortadan kaldırmıyor.

PHP ekibi 21 Ekim’de CVE-2026-109618 ve CVE-2026-109619 için kritik güvenlik güncellemeleri yayımladı. Bu açıklar farklı teknik nedenlere dayanıyor ve ilgili düzeltmelerin yüklenmesi gerekiyor.

PHP’nin 8.1 ve daha eski bazı sürümleri upstream proje tarafından artık güncelleme almıyor. Bazı Linux dağıtımları ve uzun süreli destek sağlayıcıları geriye dönük güvenlik düzeltmeleri sunabilir; ancak bunun kullanılan pakete özel olarak kontrol edilmesi gerekir.

Güvenli bir yaklaşım için:

• PHP’nin desteklenen bir sürümünü kullanın.
• İşletim sistemi veya hosting sağlayıcısının güvenlik duyurularını takip edin.
• PHP paketlerini sağlayıcının önerdiği güncel sürüme yükseltin.
• CVE-2026-115560 için geçici önlemin etkin olduğunu doğrulayın.
• Yeni PHP güvenlik duyurusu yayımlandığında düzeltmenin ilgili sürüme dahil olup olmadığını kontrol edin.

Güncel olmak yalnızca sürüm numarasının büyük olması demek değildir. Kullanılan PHP paketinin, dağıtımın güvenlik düzeltmelerini içerdiğinden emin olmak da gerekir.

Güvenlik Açığı İstismar Edilmiş mi?

Bir güvenlik açığının kamuoyuna duyurulması ile gerçek saldırılarda kullanıldığının doğrulanması farklı durumlardır.

CVE-2026-115560 için PHP ekibinin 23 Ekim tarihli duyurusu, belirli yapılandırma koşullarında ortaya çıkabilecek bir RCE riskini ve geçici önlemi açıklıyor. Duyurunun kendisi, her sistemin saldırıya uğradığını veya açığın yaygın biçimde istismar edildiğini göstermiyor.

Bu nedenle yalnızca CVE numarasına dayanarak bir WordPress sitesinin ele geçirildiğini söylemek doğru olmaz. Aynı şekilde, açığın kullanımda olduğuna dair kanıt görmemiş olmak da sistemi korumasız bırakmak için gerekçe değildir.

İnternete açık PHP sunucularını yöneten ekiplerin aşağıdaki belirtileri genel güvenlik incelemesinin parçası olarak değerlendirmesi faydalı olabilir:

• PHP veya web sunucusu günlüklerinde beklenmeyen hatalar.
• Web uygulamasının normal davranışından farklı süreç veya komut çalıştırma girişimleri.
• Web kök dizininde beklenmedik dosya değişiklikleri.
• Sunucudan beklenmeyen dış bağlantılar.
• Uygulama hesaplarında veya erişim kayıtlarında olağan dışı hareketler.

Bu belirtiler CVE-2026-115560’a özgü göstergeler değildir. Başka güvenlik sorunlarından veya normal sistem hatalarından da kaynaklanabilirler. Şüpheli bir durum görülürse olay kayıtları korunmalı ve teknik inceleme yapılmalıdır.

WordPress Site Sahipleri İçin Adım Adım Kontrol Listesi

WordPress kullanıyorsanız aşağıdaki liste, sorunu gereksiz panik yaratmadan ele almanıza yardımcı olabilir.

Adım	Yapılacak işlem	Öncelik
1	Hosting sağlayıcınızdan kullanılan PHP sürümünü ve güvenlik güncellemelerinin durumunu öğrenin.	Yüksek
2	PHP yapılandırmasında session.upload_progress.enabled değerini kontrol ettirin.	Yüksek
3	Gerekliyse değeri sunucu düzeyinde 0 olarak ayarlatın.	Yüksek
4	PHP çalışma ortamının yeni yapılandırmayla yeniden başlatıldığını doğrulayın.	Yüksek
5	Özel eklenti veya uygulamaların session.serialize_handler değerini çalışma sırasında değiştirip değiştirmediğini araştırın.	Yüksek
6	Dosya yükleme işlevlerini ve uygulama günlüklerini kontrol edin.	Orta
7	PHP ekibinin bir sonraki güvenlik duyurusunu ve düzeltme sürümünü takip edin.	Yüksek

Bu liste, sunucuya erişimi olan yöneticiler ile paylaşımlı hosting kullanıcılarının aynı işlemleri yapabileceği anlamına gelmez. Sunucu düzeyindeki yapılandırma değişikliklerini yalnızca yetkili yöneticiler uygulamalıdır.

CVE-2026-115560 Hakkında Sık Sorulan Sorular

WordPress sitem bu açık nedeniyle kesinlikle risk altında mı?

Hayır. WordPress kullanmak tek başına açıklanan saldırı koşullarının bulunduğunu göstermez. PHP ekibine göre uygulamanın belirli bir oturum serileştirme yapılandırmasını çalışma sırasında değiştirmesi ve oturum yükleme ilerlemesinin etkin kalması gerekir. Yine de PHP yapılandırması ve özel kodlar kontrol edilmelidir.

PHP’yi güncellemek yeterli mi?

PHP güncellemelerini yüklemek kritik önemdedir. Ancak 21 Ekim 2026’da yayımlanan 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri, 23 Ekim’de duyurulan CVE-2026-115560 için tek başına düzeltme olarak gösterilmemiştir. Bu açık için PHP ekibinin önerdiği geçici önlem de değerlendirilmelidir.

session.upload_progress.enabled değerini 0 yapmak güvenli mi?

Bu ayar, PHP’nin yerleşik oturum yükleme ilerlemesi özelliğini kapatır. Özelliği kullanmayan uygulamalarda görünür bir etkisi olmayabilir. Ancak dosya yükleme ilerlemesini bu mekanizmayla takip eden uygulamalarda ilgili işlev etkilenebilir. Değişiklikten sonra test yapılmalıdır.

Bu ayarı WordPress’in wp-config.php dosyasına ekleyebilir miyim?

PHP ekibinin önerdiği geçici önlem için yalnızca uygulama koduna eklenen bir ini_set() çağrısına güvenilmemelidir. Ayar, web isteklerini işleyen PHP yapılandırmasında uygun aşamada uygulanmalıdır. Paylaşımlı hosting kullanıyorsanız sağlayıcınızdan yardım isteyin.

Hosting sağlayıcım bu ayarı zaten uyguladıysa tekrar yapmalı mıyım?

Ayarın gerçekten web isteklerini işleyen PHP ortamında etkin olduğunu ve gerekli süreçlerin yeniden başlatıldığını doğrulayın. Sağlayıcınız bu önlemi zaten uyguladıysa aynı değişikliği tekrar yapmanız gerekmeyebilir. Ancak PHP güncellemelerinin durumunu da kontrol edin.

Bu açık için acil yama yayımlandı mı?

PHP’nin 23 Ekim 2026 tarihli duyurusu, CVE-2026-115560 için tam açıklamanın bir sonraki düzenli hata düzeltme sürümüyle yayımlanacağını belirtiyor. Bu nedenle en güncel durum için PHP’nin resmî haber arşivi takip edilmelidir.

Küçük Bir Yapılandırma Ayrıntısı, Büyük Bir Güvenlik Başlığı

CVE-2026-115560’ın dikkat çekici tarafı, her PHP uygulamasının aynı riskle karşı karşıya olmaması. Açık, belirli bir yapılandırma ile çalışma zamanı davranışının bir araya gelmesiyle ortaya çıkıyor. Bu da güvenlik değerlendirmesinde yalnızca yazılım sürümüne bakmanın her zaman yeterli olmadığını gösteriyor.

PHP kullanan bir sistemin güvenliği; sürüm güncellemeleri, uygulama kodu, sunucu yapılandırması, dosya izinleri ve oturum yönetimi gibi birden fazla katmanın birlikte ele alınmasını gerektirir.

WordPress site sahiplerinin yapması gereken, yalnızca bir CVE haberini okuyup paniğe kapılmak veya bütün eklentileri rastgele kapatmak değil. Önce hosting sağlayıcısının PHP sürümünü ve güvenlik önlemlerini doğrulamak, ardından uygulamanın ilgili yapılandırmayı değiştirip değiştirmediğini değerlendirmek gerekir.

Sunucu yöneticileri için ise temel mesaj net: PHP ekibinin duyurduğu geçici önlem uygulanmalı, web isteklerini işleyen PHP yapılandırması doğrulanmalı ve uygun güvenlik düzeltmesi yayımlandığında güncelleme geciktirilmemeli.

Bu olay aynı zamanda bir güvenlik alışkanlığını hatırlatıyor: Bir güvenlik güncellemesini yüklemek, yalnızca o güncellemenin kapsadığı açıkları giderir. Yeni bir CVE duyurulduğunda mevcut sürümünüzün o sorunu gerçekten çözüp çözmediğini ayrıca kontrol etmelisiniz.

Bugünün tek cümlelik özeti: CVE-2026-115560, PHP’nin oturum yükleme ilerlemesi ile serileştirme yapılandırmasının alışılmadık bir kombinasyonunda RCE riski oluşturabiliyor; PHP ekibinin önerisi, düzeltme yayımlanana kadar ilgili özelliği sunucu yapılandırmasında devre dışı bırakmak ve güncel güvenlik duyurularını takip etmek.

Kaynaklar

• PHP Resmî Duyurusu: Session Upload Progress ve CVE-2026-115560, 23 Ekim 2026
• PHP Resmî Web Sitesi ve Güvenlik Duyuruları
• Kanada Siber Güvenlik Merkezi: PHP güvenlik açıkları ve CVE-2026-115560 güncellemesi
• Red Hat: PHP istek işleme güvenlik açıkları ve azaltma önlemleri
• CVE Programı: CVE-2026-115560 kayıt sayfası