--- title: "PHP2Shell açıklarına milyonlarca saldırı, Mirai türevi Potassium yayılmaya çalışıyor" url: "https://teknotayf.com/haber/php2shell-aciklarina-milyonlarca-saldiri-mirai-turevi-potassium-yayilmaya-calisiyor" markdown_url: "https://teknotayf.com/haber/php2shell-aciklarina-milyonlarca-saldiri-mirai-turevi-potassium-yayilmaya-calisiyor.md" site: "teknotayf.com" language: "tr" published: "2026-10-23 10:40:45" updated: "2026-10-24 00:31:27" category: "Siber Güvenlik" tags: ["Siber Güvenlik","PHP Açıkları","CVE-2026","Mirai Botnet","Potassium"] source: "The Hacker News" --- # PHP2Shell açıklarına milyonlarca saldırı, Mirai türevi Potassium yayılmaya çalışıyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/php2shell-aciklarina-milyonlarca-saldiri-mirai-turevi-potassium-yayilmaya-calisiyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Yeni açıklanan PHP2Shell açıklarını sömürmeye yönelik girişimler milyonlara ulaştı ancak başarılı bir istismar henüz görülmedi. Sophos ve SOCRadar, Mirai türevi Potassium botneti ve ASLR'i aşan yeni araçlar hakkında detay paylaştı. Yama yapılmayan sistemlerin sayısı milyonları bulurken hükümet siteleri önlem olarak kapatıldı. - **Yayın tarihi:** 2026-10-23 10:40 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Güvenlik, PHP Açıkları, CVE-2026, Mirai Botnet, Potassium - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/php2shell-exploit-attempts-hit-millions.html) ![PHP2Shell açıklarına milyonlarca saldırı, Mirai türevi Potassium yayılmaya çalışıyor](https://teknotayf.com/assets/uploads/2026/10/0e1c00e91dfb53e3fc14bcca61df8d1d.jpg) Ravie Lakshmanan 23 Ekim 2026 Açıklık / Tehdit İstihbaratı Tehdit aktörleri, yeni açıklanan **PHP2Shell** açıklarını başarısız şekilde sömürmeye çalışırken enfekte sistemleri **Mirai türevi Potassium** botnetine dahil etmeye çalışıyor. Açıkları silahlandırmak daha önce düşünüldüğünden zor görünüyor. Saldırılar **CVE-2026-109618** ve CVE-2026-109619 açıklarını hedefliyor. CVSS puanları 9,2 olan bu açıklar, özel hazırlanmış HTTP istekleriyle kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma riski taşıyor. Açıklar PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde yamalandı. "Ancak örneğin analizi, bunun 2026 başlarında tespit edilen Mirai türevi botnet varyantının güncellenmiş ve önemli ölçüde genişletilmiş bir versiyonu olduğunu ortaya koydu," dedi Sophos. "Örnek, downloader ve ağ kesme işlevselliği sergiliyor." ⚡ UYARI — PHP CVE-2026-115560 Yeni Yamalanmamış RCE Açığını Uyardı Özellikle, sabit kodlu şifrelenmiş komuta ve kontrol adresini çözüyor, 134.199.154[.]64 adresine TCP bağlantısı kuruyor ve HTTP isteği gönderiyor. Zararlı yazılım ardından HTTP 200 yanıt durumunu kontrol ediyor ve elde edilen yükün ELF sihirli baytları 7F 45 4C 46 ile başlamasını doğruluyor. Bu durum, takip yükü olarak Linux ELF ikili dosyası beklediğini gösteriyor. "Bir çözümleyici işlevi IPv4 adreslerini ve ana bilgisayar çözümlemesini destekliyor, 8.8.8.8, 1.1.1.1 ve 1.0.0.1 gibi sabit kodlu genel DNS sunucularını içeren ek geri dönüş çözümleme mantığına sahip," diye ekledi Sophos. "Tarihsel olarak Mirai zararlı yazılımında olduğu gibi, bu örnek DDoS saldırıları gerçekleştirebilir." Saldırılar şu üç IP adresinden kaynaklanıyor olarak bulundu - Bu saldırı kaynaklarının yükleyiciyi almak için 92.118.112[.]100 adresine temas ettiği görüldü. Yükleyici Mirai botnet varyantını dağıtmakla sorumlu. Ağ içinde kapsüllenmiş bir kum havuzunda yapılan daha fazla analiz, botnetin thunder.godofthunder[.]st için DNS sorgusu gönderdiğini, bunu 134.199.154[.]64 adresine çözdüğünü ve TCP port 50792 üzerinde C2 kanalı kurduğunu ortaya çıkardı. Amaç, tek bir Ukrayna ağı içinde bulunan iki bitişik ana bilgisayara karşı sürdürülebilir hacimsel sel saldırıları başlatmak - PHP2Shell'i gerçek dünyada başarılı şekilde kullanan bir saldırının olmaması, tehdit aktörlerinin "güvenilir sömürü bulmakta zorlandığını" gösteriyor, Sophos ekledi. Potassium ilk olarak Mart 2026'da botnet takip platformu Synthient tarafından işaretlendi. Nokia Deepfield araştırmacıları takip analizinde zararlı yazılımı, "statik yapılandırma tablosu için ChaCha20 kullanan bir Mirai çatalı olarak tanımladı; bu, bir Mirai varyantında bu şekilde ChaCha20 kullanımının görüldüğü ilk kez, kablodaki her şey için tek statik bayt 0xED, saldırı komutlarıyla aynı kanalda adlandırılmış ters kabuk protokolü SHELL / SHOUT ve her çözümlenen A kaydı için iki 16-bit yarıyı değiştiren bir DNS yönlendirme şeması ve connect() öncesinde." Arctic Wolf, aynı silahlandırılmış PHP2Shell sömürü girişiminin ek detaylarını da paylaştı ve botnetin ICMP, TCP, UDP ve OpenVPN protokolü üzerinden sel saldırıları için 24 komutu desteklediğini söyledi. ARM ve x86 için her iki derleme de C2 altyapısını Ethereum Name Service üzerinden çözmek için yapılandırma içeriyor. "ENS çözümlemesi her iki örnekte de devre dışı bırakıldı, bu da yeteneğin mevcut olduğunu ancak aktif olmadığını gösteriyor," diye konuştu siber güvenlik firması. "Gelecek varyantlarda etkinleştirilirse, kayıt kuruluşlarına ve DNS sağlayıcılarına olan bağımlılığı azaltarak müdahale etmeyi zorlaştırabilir; bu durumda savunma ekiplerinin ENS adlarını, RPC altyapısını ve çözümlenmiş komuta ve kontrol adreslerini engellemesi gerekir." ## Tehdit Aktörü PHP2Shell'i Toplu Olarak Sömürüyor Gelişme, SOCRadar'ın PHP 8.4.26 için PHP2Shell sömürü araçlarını saldırgan kontrolündeki açık bir sunucuda "206.188.197[.]105:9999" bulduğunu söylemesiyle geldi. Sunucuda PHP2Shell zincirinin bağlı olduğu ön koşulları kontrol eden üç tarama betiği de bulunuyordu. Siber güvenlik şirketine göre betikler, sömürünün ihtiyaç duyduğu PHP sürümü, sunucu kurulumu ve oturum ayarları için yaklaşık 20 genel web sitesini kontrol etti. Bu siteler Kanada, Çin, Finlandiya, Fransa, Polonya, Birleşik Krallık ve ABD'yi kapsıyor. ![](https://teknotayf.com/assets/uploads/2026/10/7e40ccf9be697695dfff5dff41fd120f.webp) "Merkezi dosya aslr_exploit.py, operatörün Apache mod_php altında PHP 8.4.26 için 'tek tık' PHP2Shell sömürüsü olarak etiketlediği bir Python sömürüsüdür," dedi SOCRadar. "Tamamen olağan HTTP istekleri üzerinden üç geniş adımda çalışır: hedef PHP çalışanını geri dönüştürür, adres alanı yerleşim rastgeleleştirmesini ASLR'i yenmek için oturum çerezinden bellek adreslerini sızdırır ve ardından bir kabuk komutu çalıştırmak için PHP'nin oturum yükleme ilerleme işleyişini kötüye kullanır." ASLR, yani Adres Alanı Yerleşim Rastgeleleştirmesi, her çalıştırıldığında sistem dosyaları ve programları için bellek konumlarını rastgeleleştiren bir siber güvenlik mekanizmasıdır. Bu, saldırganların kodun nereye yükleneceğini tahmin etmesini zorlaştırır. Bu yerleşik savunma, tampon taşması saldırıları gibi bellek tabanlı sömürilere karşı koruma sağlar. Diğer üç eşlik eden betik şunlardır - php2shell_fp.py, yaklaşık 20 siteden PHP sürümünü ve sunucu kurulumunu okur deep_probe.py, bu sitelerden 11'ini görünür hatalar, phpinfo sayfaları, dosya dahil etme ve oturum enjeksiyonu açısından inceler; sömürü önkoşullarını karşılayıp karşılamadıklarını belirlemek için wp_attack.py, kullanıcı ve eklenti numaralandırması yapmak için beş WordPress sitesine odaklanır Buna rağmen 22 Ekim 2026 tarihi itibarıyla taranan hiçbir sitede kabuk erişimine dair kanıt yok. Bu durum, hedeflenen sitelerin sömürünün önkoşullarını karşılamadığını gösteriyor. ![](https://teknotayf.com/assets/uploads/2026/10/0143117c7ff4d3ce29a628dd0d01c4f5.webp) Araç setinin, saldırganın web sitelerinin istemci tarafı JavaScript'inden API anahtarlarını ve arka uç URL'lerini çıkardığı, web ve API yollarını kimlik doğrulaması olmadan erişim için sistematik olarak taradığı ve trafiği yaymak ve hız sınırlarını ve engellemeyi atlatmak için dönen proxy havuzu kullandığı daha geniş bir operasyona ait olduğu değerlendiriliyor. "Sunucudaki ilgili eserler ayrıca web arşivi istihbaratı ve otomatik CAPTCHA çözme işaret ediyor," diye kaydetti SOCRadar. "Birlikte değerlendirildiğinde, araç seti kripto para ve Web3 hedeflerine odaklanan finansal olarak motive bir aktöre işaret ediyor." Aynı sömürü sunucusu "206.188.197[.]105" Hunt.io tarafından da işaretlendi. Tehdit istihbarat firmasına göre operasyonun arkasındaki tehdit aktörü bulut, paylaşımlı barındırma ve ISP ağlarındaki 123 sunucuyu hedefledi. "Bunların yaklaşık 57'si PHP çalıştırıyor, çoğu desteklenmeyen 5.x ila 7.x sürümlerinde," dedi. "Onu reddetti, bunların üçü Cloudflare arkasında duran beş sunucudan üçü. Hiçbiri sömürülmedi." Toplamda 10 açık dizin PHP2Shell ile ilgili araç barındırıyor - 47.100.125[.]108, 54.169.109[.]7, 139.162.165[.]136 ## ASLR Korumalarını Yenmek Açıklama, PHP'nin önerilen üretim yapılandırmasıyla ASLR etkin x86-64 sistemlerde uzaktan kod çalıştırma sağlayabilen bir PHP2Shell sömürüsünün geliştirilmesiyle aynı zamana denk geldi. "En büyük engellerden biri, bellek bozulma açıklarını sömürmeyi çok daha zor hale getirmek için tasarlanmış bir koruma olan adres alanı yerleşim rastgeleleştirmesi ASLR oldu," diye anlattı VulnCheck'te sömürü geliştirme direktörü Spencer McIntyre The Hacker News'e. "Ekip, iki açığı birleştiren, ASLR'i atlamak için bir bellek sızıntısı kullanan ve PHP'nin önerilen üretim hata görüntüleme ayarıyla bile x86-64 sistemlerde uzaktan kod çalıştırma sağlayan yeni bir teknik geliştirdi." "Aynı koşullarda bunu başaran başka bir genel veya ticari sömürü tespit etmedik. Bu yeteneği geliştirmek hiç de kolay değildi, ancak PHP2Shell'i üretim yapılandırmalı sistemlerde sömürmek için önemli bir engelin aşılabileceğini gösteriyor." Açıkların başarılı şekilde sömürülmesinin sonuçları ciddi. VulnCheck'e göre bu, saldırganın web uygulamasının izinleriyle kod çalıştırmasına izin verir ve potansiyel olarak API anahtarlarına, veritabanı bağlantılarına ve uygulamanın erişebildiği diğer dahili hizmetlere erişim sağlayabilir. "Bir saldırganın önemli zarar vermek için yönetici veya root erişimine ihtiyacı yoktur," dedi McIntyre. "Hassas bir web uygulamasına erişim, bir kuruluşun altyapısının diğer bölümlerine bir basamak sağlayabilir." ## Sömürü Girişimleri Bol, Hiçbiri Başarılı Değil Bulgular, açıkları hedef alan geniş sömürü girişimlerinin devam ettiğine dair raporlarla örtüşüyor. Bunlar arasında sunucu tarafı oturum dosyası üzerinden web kabuğu bırakmaya çalışan Çin merkezli bir IP adresi de bulunuyor. Web altyapı şirketi Cloudflare, açıkların kamuya duyurulmasından 45 dakika sonra açıkları sömürmeye yönelik on binlerce girişim gözlemlediğini, iki saat içinde yüz binlere yükseldiğini ve 22 Ekim 2026'nın başlarında milyonlara ulaştığını söyledi. "Şimdiye kadar çoğu aktivite tarama ve çeşitli yükleri teslim etmeye yönelik koordine edilmemiş girişimlerden oluşuyor," dedi Cisco Talos. "Bu beklenen bir durum: genel kanıt-of-concept koduyla tarama veya temel sömürü, bir açığı bir aktörün kendi araç setine entegre etmekten çok daha az çaba gerektirir." Previdian'ın telemetrisi şimdiye kadar CVE-2026-109618'i hedef alan onlarca IP adresinden yüzlerce sömürü girişimi kaydetti ve CVE-2026-109619'a karşı daha az ölçüde. CVE-2026-109618'e yönelik ilk sömürü olayı 21 Ekim 2026'da 13:05 UTC'de kaydedildi. "Balıkçılarımızda bol miktarda PHP2Shell taraması ve sömürü girişimi gördük," dedi Previdian. "Yazım itibarıyla başarılı bir uzaktan kod çalıştırma veya bırakılan PHP dosyası gözlemlemedik. Güvenilir RCE'nin başlangıçta beklendiğinden daha zor olabileceği anlaşılıyor." Bu değerlendirme Beelzebub, Dataminr ve Wordfence tarafından da yankılandı. Gözlemlenen aktivite şimdiye kadar tarama, parmak izi alma ve komut yürütmeyi doğrulama, ortam değişkenlerinden kimlik bilgilerini ve sırları çalma, kalıcı erişim kurma ve ikinci aşama yükü alma ve yürütme girişimleriyle sınırlı kaldı. Wordfence, açıkları sömürmeye çalışan IP adreslerinden bazılarını paylaştı - Açıkların ciddiyeti, Asya, Avrupa ve Kuzey Amerika genelinde birkaç hükümet, okul ve hastane web sitesinin ihtiyaten çevrimdışı kalmasına yol açtı. Birleşik Krallık hükümeti, güvenlik güncellemeleri ve azaltmalar uygulanırken alınan ihtiyati kapatmaların büyük ölçüde kaynaklandığı 32 dijital hizmetin kullanılamadığını ve dördünün kısmen kullanılamadığını doğruladı. Ulusal Siber Güvenlik Merkezi NCSC yaklaşık 50.000 uyarıyı işletmelere ve diğer kuruluşlara gönderdi. "Hassas kod PHP 5.4'e kadar uzanıyor, 2012'de yayınlandı," dedi Sysdig Tehdit Araştırma Ekibi. "Hatalar PHP motorunda yaşıyor, herhangi bir uygulamanın içinde değil. Bu nedenle temiz uygulama koduna sahip herhangi bir WordPress, Drupal veya Joomla sitesi hâlâ risk altında." Eski PHP sürümleri için düzeltmeler mevcut olmadığından PHP2Shell'in Log4Shell'e benzer şekilde uzun bir kuyruğu olması bekleniyor. Google'a ait VirusTotal'ın tahminlerine göre desteklenen bir PHP dalı 8.2 ila 8.5 çalıştıran yaklaşık 272.000 ana bilgisayar var. PHP 7.4, 8.0 veya 8.1 üzerinde olan kuruluşların desteklenen bir dala geçmeleri veya bir dağıtım geri bağlantısı kullanmaları öneriliyor. Saldırı yüzeyi yönetimi platformu Censys, şu anda PHP çalıştıran 3,08 milyondan fazla ana bilgisayar ve 56,6 milyon web özelliği tespit ettiğini söyledi. Bunların 34,4 milyondan fazlası 23 Ekim 2026 itibarıyla hâlâ savunmasız olarak değerlendiriliyor. "Web sunucuları ve benzeri olan birçok uygulama, ilgili satıcılar bu öğeleri yamalayana kadar muhtemelen savunmasız kalacak," dedi Dataminr. "Bunun anlamı, birçok kuruluşun muhtemelen sahip olunan ve yönetilen uygulamalara yama doğrudan uygulandığında olduğundan çok daha uzun süre bir dereceye kadar savunmasız kalacağıdır." --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/php2shell-aciklarina-milyonlarca-saldiri-mirai-turevi-potassium-yayilmaya-calisiyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.