Ravie Lakshmanan 22 Eki 2026 Güvenlik Açığı / Tehdit İstihbaratı
Amazon Tehdit İstihbaratı ekibi Çarşamba günü, 17 Ekim 2026 tarihine dayanan yeni açıklanan PHP2Shell açıklarını hedef alan bir istismar girişimi tespit ettiğini duyurdu. Açıklama, yamaların yayınlanmasının ardından açıkların yabanıl ortamda geniş çaplı istismara uğramaya başlamasıyla geldi.
Amazon Integrated Security CISO'su CJ Moses, The Hacker News ile paylaştığı yazıda "İstismar girişimi, ticari bir anonimleştirme ağına ait bir IP adresinden kaynaklandı" dedi.
Moses, "Açıklık gizlilik altında iken anonim bir IP adresinden bir arı kovanının hedef alınması, aktivitenin bir tehdit aktörü tarafından yürütüldüğünü düşündürüyor, ancak aktörün açıklama öncesinde istismar bilgisine nasıl ulaştığı net değil" ifadelerini kullandı.
Amazon'a göre girişim "103.216.220[.]92" adresinden kaydedildi. IP adresi Avustralya'ya konumlandırıldı. Amazon sözcüsü The Hacker News'e, aktivitenin büyük ölçüde tek seferlik bir tarama olduğunu söyledi.
Aktivite, PHP çekirdeğini etkileyen iki açıkla ilgili. Her ikisi de CVSS puanlama sisteminde 9.2 olarak derecelendirildi. Takip numaraları CVE-2026-109618 ve CVE-2026-109619. Açıkları Calif, OpenAI ve Google'a ait Wiz'den araştırmacılar keşfetti. Açıklar etkilenen sistemlerde kimlik doğrulaması olmadan uzaktan kod çalıştırmaya olanak tanıyor.
Eksiklikler PHP 7.x ve 8.x serisinin her sürümünde bulunuyor ve etkilenen bir sunucudaki erişilebilir her PHP uç noktasını, statik formlar, giriş rotaları ve sağlık kontrolleri dahil olmak üzere riske atıyor. CrowdStrike'a göre açıkları istismar eden bir saldırı neredeyse hiç dijital iz bırakmıyor.
CrowdStrike, "Kimlik doğrulaması atlanmıyor, oturum çalınmıyor ve savunmasız bir uç nokta keşfedilmiyor" dedi. "Maruziyet kullanılan CMS, çerçeve veya eklentilerden bağımsız."
"İşlemci süreçleri kararlı kalıyor, yanıtlar HTTP 200 dönüyor ve uygulama günlükleri anormallik kaydetmiyor, çünkü hiçbir uygulama kodu çalışmıyor. Sunucu tarafındaki tek iz, web sunucusunun hata günlüğünde tek bir bellek limiti ölümcül hatası ve bu rutin olarak gürültü olarak geçiştiriliyor; bu da savunma ekiplerinin tehlikeye atılmış uç noktaları tespit etmek için kullanabileceği eyleme geçirilebilir web telemetrisi olmadan bırakıyor."
Açıklamalar başlangıçta 22 Ekim 2026'da TSİ 14:00'te koordineli açıklama için planlanmıştı. CVE tanımlayıcıları ve bir kanıt-of-concept istismarının ayrıntıları zamanından önce sızdı. Bu durum PHP Foundation'ı açıklamayı bir gün öne çekmeye zorladı.
PHP Foundation, "Her iki sorun da neredeyse her isteğin dokunduğu PHP'nin parçalarında yer alıyor: bellek yönetimi ve hata işleme" dedi. "PHP'deki merkezi konumları hem açıkları ciddi kılan hem de uyumluluğu bozmadan, performansı etkilemeden veya üçüncü taraf uzantıların büyük ekosisteminde değişiklik zorunluluğu olmadan düzeltmeyi çok zorlaştıran şey oldu."
Amazon, düzeltmelerin yayınlandığı gün PHP2Shell için birden fazla PoC istismarını tespit ettiğini söyledi. En erken girişim 21 Ekim 2026'da TSİ 02:00 civarında işaretlendi.
Bunu, sonraki altı saat içinde anonimleştirilmiş altyapıdan gelen ek istismar girişimleri izledi. Kullanılan yük çeşitliliği ve anonimleştirme altyapısı, birden fazla tehdit aktörünün dahil olduğunu gösteriyor. Amazon Tehdit İstihbaratı bu değerlendirmeyi yaptı.
Girişimler 21 Ekim 2026'da aşağıdaki IP adreslerinden kaydedildi.
ELLIO'ya göre, sensörlerini hedef alan ilk PHP2Shell isteği 21 Ekim 2026'da TSİ 08:36'da görüldü. Bu, "Chainguard'ın gizliliği tek taraflı olarak bozup düzeltmeyi içeren derlenmiş görüntüleri yayınlamasından" bir saatten az bir süre sonra gerçekleşti.
PHP Foundation, "Chainguard, açıkların açıklanmasının ardından kullanıcılarının hemen güncelleyebilmesi için yamayı önceden almıştı" dedi. "Artık her saldırgan düzeltmeyi ikili formda inceleyebilirken her diğer PHP kullanıcısı yayın için bekliyordu. Bu, birçok tarafın koordineli açıklama için haftalarca çalıştığını göz ardı etti."
Açıkların ciddiyeti, Birleşik Krallık Ulusal Siber Güvenlik Merkezi NCSC ve ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA gibi uluslararası siber güvenlik kurumlarından uyarılara yol açtı. Kurumlar kuruluşları yamaları mümkün olan en kısa sürede uygulamaya ya da sistemleri çevrimdışı tutmayı düşünmeye çağırdı.
ABD Federal Soruşturma Bürosu FBI, X paylaşımında "Web sunucularını şüpheli etkinlikler açısından izleyin, PHP süreçlerinin beklenmedik şekilde komut kabukları başlatması veya dosyalar indirmesi dahil" dedi. "Potansiyel istismarı tespit etmeye yardımcı olmak için uygun süreç izleme yeteneklerinin sağlandığından emin olun."
Benzer bir uyarıda ABD Ulusal Güvenlik Ajansı NSA, açıkların tehdit aktörlerine sunucunun dosya sistemi veya veritabanına doğrudan erişim sağlayabileceğini söyledi. Açıkları "son zamanların en etkili güvenlik sorunlarından biri" olarak tanımlayan OpenAI, bir web sitesinin veya yerel PHP ikili dosyasının PHP2Shell'e karşı savunmasız olup olmadığını kontrol etmek için bir Codex becerisi yayınladı.
Dünyadaki web sitelerinin çoğunluğunu güçlendiren PHP ile birlikte geniş saldırı yüzeyi, PHP2Shell açıklarının ciddiyeti ve istismar kolaylığı, kimliği doğrulanmamış saldırganların kod çalıştırmasına ve hassas verileri çalmasına izin verdiği için büyük riskler oluşturuyor.
Cloudflare, "PHP web sitelerinin yaklaşık yüzde 70'ini kullanıyor" dedi. "Php2shell açıkları PHP çalışma zamanının kendisini etkiliyor ve saldırganların savunmasız sunucularda kötü amaçlı kod çalıştırmasına, müşteri verilerini ifşa etmesine veya hizmetleri aksatmasına izin verebiliyor. PHP, WordPress ve Magento gibi yaygın platformların altında yattığı için bu açıklar internet genelinde çok sayıda uygulamayı etkileyebilir."
VulnCheck'in analizi, internete bakan 2.608.039 ana bilgisayarda PHP tespit etti. Bunların 700 binden fazlası PHP 3.x'ten 7.3'e kadar çalışıyor. Yaklaşık 400 bin ana bilgisayar PHP 7.4, 8.0 veya 8.1 sürümlerini çalıştırıyor, 403 bin ana bilgisayar ise desteklenen 8.2'den 8.5'e kadar olan dalları çalıştırıyor.
Benzer bir dökümde Modat, 20 Ekim 2026 itibarıyla 4,38 milyon internete bakan PHP hizmeti tespit ettiğini söyledi. Bunların yüzde 79'u yani yaklaşık 3,47 milyonu PHP'nin artık desteklemediği bir dalda bulunuyor. 4.x, 5.x, 7.x, 8.0 veya 8.1. PHP 7.4, 2022'de yaşam sonu desteğine ulaşmışken 878.761 hizmete sahip. Bunu 486.684 hizmetle PHP 5.3 ve 461.965 hizmetle PHP 7.2 izliyor.
Sonatype'da Alan CTO'su Ilkka Turunen bir açıklamada, "PHP yaygın kullanılan bir dil ve internetin büyük kısımlarını güçlendiriyor" dedi. "Acil öncelik açık hesap verebilirlik: PHP'nin hizmetleriniz ve ürünleriniz genelinde nerede kullanıldığını bilin, düzeltmenin kimin sorumluluğunda olduğunu ve düzeltmelerin ne kadar hızlı dağıtılabileceğini bilin."
"PHP'nin birçok işletim sistemi dağıtımına gömülü olması ve birçok tarihi ortamda bulunması nedeniyle yamanın uygulanması gereken uzun bir kuyruk olması muhtemel."
Bazı diğer dikkat çekici gelişmeler aşağıda listeleniyor.
WebOps platformu, 21 Ekim 2026'da TSİ 19:08 itibarıyla açıkları araştıran 60 binden fazla şüpheli isteği engelledi.
VulnCheck, kullanıcı aracısı "php2shell-scan/109618" ile CVE-2026-109618'i silahlandırarak arı kovanlarını hedefleyen 85.11.167[.]243 ve 45.198.224[.]169 adresli iki ana bilgisayar tespit etti. 109.71.252[.]97 her iki açığı da kullandı.
Cloudflare, müşterilerini hedef alan saldırı trafiği gözlemledi. Tehdit aktörlerinin "eşleşme hacmini takip ederek ve kural mantığıyla çapraz referans yaparak korumalarımızı atlatmak için saldırı yükünü değiştirdiği" belirtildi.
CloudLinux, ea-php52'den ea-php85'e kadar ve her alt-php sürümü için düzeltilmiş paketler yayınladı.
JFrog, GitHub'da kurbanın duvar kağıdını NSFW içeriğe değiştiren sahte PoC istismarları ve şaka kötü amaçlı yazılımların yayınlandığını gözlemledi.
Akamai, Amazon Web Services AWS, Arctic Wolf, Automattic, Cisco Talos, Coalition, Corelight, CyCognito, Datadog, Debian, Endor Labs, Expel, Fastly, Fortinet, Google Cloud, Hadrian, Huntress, Imperva, Intruder, Kaspersky, Microsoft Azure, NetSPI, Orca Security, OX Security, Palo Alto Networks Unit 42, Patchstack, Pentest Tools, Qualys, Rapid7, Recorded Future, ReliaQuest, Sansec, SOCRadar, Searchlight Cyber, SolarWinds, Sophos, Tanium, Tenable, Trend Micro, Ubuntu, Vercel, watchTowr, Wordfence ve Zscaler dahil olmak üzere çok sayıda güvenlik ve yazılım satıcısı ek rehberlik ve hafifletme önlemleri yayınladı.
Dünya genelindeki hükümet kurumları da açıklar için danışmanlık yayınladı: Avustralya Sinyal Müdürlüğü ASD, Kanada Siber Güvenlik Merkezi CCCS, CERT-EU, CISA, Singapur Siber Güvenlik Ajansı CSA, Avrupa Birliği Siber Güvenlik Ajansı ENISA, Federal Bilgi Güvenliği Dairesi BSI, Hindistan Bilgisayar Acil Müdahale Ekibi CERT-In, Birleşik Krallık NCSC, NCSC-NL ve NSA.
Moses, "Yama ile çalışan istismar arasındaki süre yapısal nedenlerle kısalıyor" dedi. "Geçmişte gözlemlediğimiz çoğu istismar, kamuya açık bir kanıt-of-concept yayınlandıktan sonra geldi. Yetenekli küçük bir aktör grubu istismar oluşturdu ve herkes onlar için bekledi."
"Bu bağımlılık zayıflıyor. Yapay zeka destekli analiz, bir yama farkını veya danışmanlığı çalışan bir istismara dönüştürmeyi daha ucuz hale getiriyor. Sonuç olarak, daha fazla aktör teknik ayrıntılar açıklandıktan sonra saatler içinde hatta dakikalar içinde harekete geçebiliyor."
