PHP oturum yükleme mekanizmasında kritik bellek açığı tespit edildi
Öne çıkanlar
- Açık, PHP oturum işleyicisindeki serbest bırakılmış bellek kullanımı üzerinden sistem komutu çalıştırmaya izin veriyor.
- Zafiyet, varsayılan yapılandırmaya sahip PHP 8.2 ve 8.4 sürümlerinde doğrulandı.
- Resmi yama çıkana kadar session.upload_progress özelliğinin kapatılması ve ağ düzeyinde filtreleme öneriliyor.
Güvenlik araştırmacıları, PHP'nin oturum yükleme ilerleme mekanizmasında uzaktan kod yürütmeye yol açan kritik bir bellek hatası keşfetti. CVE-2026-109618 ve CVE-2026-109619 kodlu güvenlik açıkları, PHP'nin ext/session/session.c dosyasındaki rfc1867 geri çağırma işlevinde meydana gelen serbest bırakılmış bellek kullanımından (use-after-free) kaynaklanıyor. Hata, varsayılan yapılandırmaya sahip sunucularda saldırganların özel hazırlanmış isteklerle zend_call_function üzerinden doğrudan sistem komutları çalıştırmasına imkan tanıyor.
Araştırma ekibi, açığın PHP 8.4.4 ve 8.2.34 sürümleri başta olmak üzere güncel php-src sürümlerinde doğrulandığını açıkladı. Sorun, oturum dosyasının yeniden okunması ve zend_hash_update işlemi sırasında Hash tablosu yok edicisinin önceden ayrılan ağacı serbest bırakmasıyla tetikleniyor. Tek bir hızlı multipart POST isteği her iki ham işaretçi önbelleğini hazırlıyor ve ardından gelen güncelleme işlemi boşaltılan bellek alanını yeniden talep ederek sistem fonksiyonlarını çağıran sahte veri yapıları yerleştirilmesine izin veriyor.
Resmi güvenlik yaması yayımlanana kadar sistem yöneticilerine geçici önlemler almaları tavsiye edildi. Yöneticilerin php.ini ayarlarında ilgili yükleme ilerleme özelliğini devre dışı bırakması ve PHP-FPM sunucularını yeniden başlatması gerekiyor. Ayrıca dosya yüklemesi gerektirmeyen uç noktalara yönelik multipart isteklerinin web uygulama güvenlik duvarı veya ters vekil sunucu seviyesinde sınırlandırılması önerildi.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.