PHP’nin 5.4 ve sonraki sürümlerini etkilediği bildirilen, uzaktan kod çalıştırma (RCE) riski taşıyan kritik güvenlik açıkları gündemde. Güvenlik açıklarına ilişkin istismar yöntemlerinin kamuya açık hale gelmesi, özellikle PHP tabanlı web siteleri ve sunucu yöneticileri açısından ciddi bir risk oluşturuyor.
Hosting firmalarından da konuyla ilgili güvenlik uyarıları gelmeye başladı.
Güvenlik açığı nedir?
Bildirilen açıklardan biri, PHP’nin session.upload_progress özelliğiyle ilişkili. Belirli koşullarda bu mekanizmanın kötüye kullanılması, saldırganların sunucu üzerinde yetkisiz kod çalıştırmasına yol açabiliyor.
Başarılı bir saldırı sonucunda web sitesi dosyalarının değiştirilmesi, hassas bilgilerin ele geçirilmesi veya sunucu kaynaklarının kötüye kullanılması gibi sonuçlar ortaya çıkabilir.
Ancak her PHP kurulumunun doğrudan istismar edilebilir olduğunu söylemek doğru değil. Risk, sunucu yapılandırmasına ve saldırının gerektirdiği koşullara bağlı olarak değişebiliyor.
Geçici güvenlik önlemi
Güzel Hosting tarafından gönderilen bilgilendirmede, aşağıdaki PHP yapılandırmasının geçici önlem olarak uygulandığı belirtiliyor:
Kod:
session.upload_progress.enabled = OffÖnemli: Bu ayar tek başına tüm güvenlik açıklarını gidermiyor. Kalıcı çözüm, PHP tarafından yayımlanan güvenlik yamalarının uygulanması.
Hangi PHP sürümleri etkileniyor?
Güvenlik uyarılarında PHP 5.4 ve sonraki sürümlerden söz ediliyor. Ancak her sürümün aynı koşullarda etkilenip etkilenmediği ve hangi güvenlik düzeltmelerine ihtiyaç duyduğu resmî duyurular üzerinden değerlendirilmelidir.
21 Ekim 2026 tarihinde PHP 8.3, 8.4 ve 8.5 serileri için acil güvenlik güncellemeleri planlandığı bildirildi.
Site yöneticileri ne yapmalı?
- Hosting firmanızın güvenlik duyurularını takip edin.
- PHP sürümünüzü kontrol edin ve güvenlik yamaları yayımlandığında güncelleyin.
- session.upload_progress.enabled ayarının durumunu kontrol edin.
- Web sitesi dosyalarınızın ve veritabanınızın güncel yedeğini alın.
- Sunucu erişim ve hata kayıtlarında şüpheli faaliyetleri inceleyin.
- Kullandığınız CMS, forum yazılımı ve eklentileri güncel tutun.
XenForo kullanıcıları için durum
XenForo 2.3.x kullanan forum yöneticilerinin de konuyu dikkate almasında fayda var.
Söz konusu güvenlik riskleri doğrudan XenForo kaynaklı değil, sunucuda çalışan PHP ortamıyla ilişkili.
session.upload_progress.enabled özelliğinin kapatılması, XenForo’nun normal konu oluşturma, mesaj gönderme ve dosya eki yükleme işlemlerini genel olarak etkilememelidir. Ancak özel eklentilerin bu özelliğe bağımlı olması durumunda farklılıklar yaşanabilir.
Sonuç
PHP tabanlı bir web sitesi veya forum işletiyorsanız bu uyarıyı göz ardı etmeyin. Hosting firmanızın gerekli önlemleri uyguladığından emin olun ve güvenlik güncellemelerini takip edin.
Unutmayın: Geçici yapılandırma değişiklikleri, güvenlik yamalarının yerini tutmaz.
Kaynaklar:
- PHP resmî sitesi: PHP
- PHP güvenlik duyuruları: PHP: Releases
- CERT-FR: CERT-FR – Cert national et gouvernemental français
Critical vulnerabilities that reportedly affect PHP versions 5.4 and later, which pose a remote code execution (RCE) risk, are on the agenda. The public disclosure of exploit methods related to security vulnerabilities poses a serious risk, especially for PHP-based websites and server administrators.
Security warnings have also started to be received from hosting companies regarding the issue.
What is the vulnerability?
One of the reported vulnerabilities is PHP's session.associated with the upload_progress property. Under certain conditions, abuse of this mechanism can lead to attackers running unauthorized code on the server.
As a result of a successful attack, there may be consequences such as changing website files, intercepting sensitive information, or misusing server resources.
However, it is not true to say that every PHP installation is directly exploitable. The risk may vary depending on the server configuration and the conditions required by the attack.
Temporary security measure
In the notification sent by Güzel Hosting, it is stated that the following PHP configuration is being implemented as a temporary measure:
Kod:
session.upload_progress.enabled = OffImportant: This setting alone does not fix all security vulnerabilities. The permanent solution is to apply the security patches released by PHP.
Which PHP versions are affected?
The security warnings mention PHP 5.4 and later versions. However, whether each version is affected under the same conditions and which security fixes it needs should be evaluated through official announcements.
It has been reported that urgent security updates are planned for PHP 8.3, 8.4, and 8.5 versions on October 21, 2026.
What should site administrators do?
Follow your hosting company's security announcements.
Check your PHP version and update it when security patches are released.
Check the status of the session.upload_progress.enabled setting.
Take an up-to-date backup of your website files and database.
Examine suspicious activities in server access and error logs.
Keep your CMS, forum software, and plugins up to date.
Status for XenForo users
Forum administrators using XenForo 2.3.x should also take this issue into consideration.
The security risks in question are not directly related to XenForo itself, but are associated with the PHP environment running on the server.
session.upload_progress.turning off the enabled feature should not affect XenForo's normal thread creation, message sending, and file Octet upload processes in general. However, differences may occur if special plugins are dependent on this feature.
Result
If you are running a PHP-based website or forum, do not ignore this warning.Dec. Make sure that your hosting company has implemented the necessary measures and follow the security updates.
Remember: Temporary configuration changes are not a substitute for security patches.
Resources:
PHP official site: PHP
PHP security announcements: PHP: Releases
CERT-FR: CERT-FR – French National and Governmental Certification
