---
title: "F5 BIG-IP APM Zararlısı, Disk Taramalarından Kaçmak İçin PHP Web Kabuğunu Belleğe Enjekte Ediyor"
url: "https://teknotayf.com/haber/f5-big-ip-apm-zararlisi-disk-taramalarindan-kacmak-icin-php-web-kabugunu-bellege-enjekte-ediyor"
markdown_url: "https://teknotayf.com/haber/f5-big-ip-apm-zararlisi-disk-taramalarindan-kacmak-icin-php-web-kabugunu-bellege-enjekte-ediyor.md"
site: "teknotayf.com"
language: "tr"
published: "2026-09-09 13:16:25"
updated: "2026-09-09 10:16:25"
category: "Siber Güvenlik"
tags: ["Siber Güvenlik","Zararlı Yazılım","Uzaktan Kod Çalıştırma","F5 BIG-IP","Web Kabuğu"]
source: "The Hacker News"
---

# F5 BIG-IP APM Zararlısı, Disk Taramalarından Kaçmak İçin PHP Web Kabuğunu Belleğe Enjekte Ediyor

> **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/f5-big-ip-apm-zararlisi-disk-taramalarindan-kacmak-icin-php-web-kabugunu-bellege-enjekte-ediyor  
> Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır.

**Özet:** Siber güvenlik şirketi Sophos, F5 BIG-IP cihazlarını hedef alan yeni nesil bir zararlı yazılımı detaylandırdı. Zararlı, geleneksel dosya taramalarından kaçmak için PHP web kabuğunu disk yerine doğrudan sistem belleğine gizliyor.

- **Yayın tarihi:** 2026-09-09 13:16
- **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik)
- **Etiketler:** Siber Güvenlik, Zararlı Yazılım, Uzaktan Kod Çalıştırma, F5 BIG-IP, Web Kabuğu
- **Yazan:** TeknoTayf.com
- **Kaynak:** [The Hacker News](https://thehackernews.com/2026/09/f5-big-ip-apm-malware-injects-php-web.html)

![F5 BIG-IP APM Zararlısı, Disk Taramalarından Kaçmak İçin PHP Web Kabuğunu Belleğe Enjekte Ediyor](https://teknotayf.com/assets/uploads/2026/09/f5cb3d7a648b950d72812ce61ecece48.jpg)

Siber güvenlik şirketi Sophos, 7 Eylül'de yayımladığı analizde çarpıcı bir bulguya yer verdi. F5 BIG-IP Access Policy Manager cihazlarına yönelik sızma girişimlerinde kullanılan zararlı yazılım, PHP web kabuğunu diskteki bir dosyaya yazmak yerine doğrudan sistem belleğine gizliyor.

Apache sunucusu, cihazlara ait üç farklı PHP betiğinden birini yüklediğinde, zararlı yazılım web kabuğunu bellekteki kopyaya ekliyor. Bu durum, diskteki orijinal dosyanın taranması sonucu temiz çıkmasına neden oluyor. İlgili üç betik, F5'in mart ayında müşterilerini uyardığı ve bu dosyalardaki değişikliklerin tek başına bir sızma anlamına gelmediğini açıkladığı dosyaların ta kendisi.

Web kabukları, saldırganların standart web istekleri üzerinden komut çalıştırmak amacıyla web sunucusu klasörlerine yerleştirdiği küçük betiklerdir. Bu dosyalar diskte kayıtlı olduğu için güvenlik uzmanları, dosyaları tarayıp bilinen temiz kopyalarla karşılaştırarak zararlı yazılımı tespit etmeye çalışır.

Ancak bu geleneksel tarama yöntemi yeni zararlıda işe yaramıyor. Araştırmacıların belirttiği gibi, bu web kabuğunun "**diskte son haliyle bulunmasına gerek yok**".

Tehdit oluşturan üç betiğin adı apm_css.php3, full_wt.php3 ve webtop_popup_css.php3. Bu dosyalar, BIG-IP APM webtop altyapısının bir parçası. F5, mart ayında c05d5254 kod adıyla takip ettiği zararlı yazılıma ait uzlaşma göstergelerini yayımladığında bu üç dosyayı da listeye eklemiş, ancak yalnızca bu dosyaların varlığının bir güvenlik ihlali anlamına gelmediğini vurgulamıştı.

F5 daha önce, disk üzerine yazılan web kabukları tespit ettiğini, ancak bu kabukların "**yalnızca bellekte çalıştığının**" gözlemlendiğini ve bu nedenle listelenen dosyaların değiştirilmemiş olabileceğini belirtmişti. Sophos'un yayımladığı yeni analiz, F5'in bu iki farklı ifadesinin aslında nasıl aynı anda doğru olabildiğini net bir şekilde ortaya koyuyor.

Sophos uzmanları incelemelerini tek bir zararlı yazılım örneği üzerinden yürüttü. Yayımlanan analizde herhangi bir mağdurun kimliği paylaşılmazken, söz konusu örneğin nasıl ele geçirildiğine dair de bilgi verilmedi.

Sophos'un aktardığına göre F5, c05d5254 kodlu zararlı aktivitesini **CVE-2025-53521** güvenlik açığından etkilenen cihazlarla ilişkilendirdi. F5, söz konusu güvenlik açığını ilk olarak 15 Ekim 2025 tarihinde bir hizmet reddi zafiyeti olarak duyurmuştu.

Ancak 27 Mart 2026 tarihinde F5, elde edilen yeni veriler ışığında zafiyetin sınıfını **uzaktan kod çalıştırma** olarak güncelledi ve bu açıklığın halihazırda aktif olarak sömürüldüğünü açıkladı. Saldırganların bu açığı kullanmak için herhangi bir giriş yapmasına veya kimlik doğrulamasına gerek bulunmuyor. F5, zafiyetin kritik seviyesini CVSS 3.1 skalasında **9.8**, CVSS 4.0 skalasında ise **9.3** olarak derecelendiriyor.

---

**Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/f5-big-ip-apm-zararlisi-disk-taramalarindan-kacmak-icin-php-web-kabugunu-bellege-enjekte-ediyor  
Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.