DÜZELTME (26 Ekim 2026): Palo Alto Networks Unit 42, aşağıdaki Avrupa kamu kurumu saldırısının PHP2Shell ile yapıldığı değerlendirmesini geri çekti. Unit 42 sözcüsü: ilk erişimin bu PHP2Shell açıklarıyla ilişkili olduğunu doğrulayamıyoruz. Bu yazının ilk hâli o iddiaya dayanıyordu; düzeltiyoruz. PHP2Shell’in gerçek sahada başarılı istismarı ise 24 Ekim’de başka bir kaynaktan (tuzak sunucular) doğrulandı: güncel durum
Ne oldu? 21 Ekim’de yaması çıkan PHP2Shell açıkları (CVE-2026-109618 ve CVE-2026-109619) hakkında 23-24 Ekim’deki gelişmeler. Kontrol tarihi: 26 Ekim 2026 (TR).
Yeni gelişmeler
Avrupa’da bir kamu kurumu: Unit 42, yapay zekâ ajanlı bir saldırı platformunun bir Avrupa kamu kurumuna karşı kullanıldığını gördü. İlk sızmadan sonraki iki saat içinde saldırganlar şifre özetlerini (hash) ve çok adımlı doğrulama (MFA) gizli anahtarlarını ele geçirdi, Active Directory’ye tünel kurup alan yöneticisi (Domain Admin) yetkisi almaya çalıştı.(Geri çekildi: saldırı gerçek ama PHP2Shell ile bağlantısı doğrulanamadı.)- Unit 42, en az bir Avrupa hükümetinin önlem olarak web sitesini geçici olarak kapattığını da yazdı.
- Ölçek: Unit 42’ye göre yayın anında potansiyel olarak açık 22,6 milyondan fazla PHP kurulumu internette görünüyordu.
Tablo ne kadar kötü?
- Arctic Wolf’un değerlendirmesi daha temkinli: Yaygın tarama ve doğrulama denemeleri var ama güvenilir, büyük ölçekli başarılı istismara dair kanıt az. Görülen bazı “PHP2Shell” istekleri aslında eski tekniklerin (oturum zehirleme, serileştirme) yeniden kullanımı.
- Arctic Wolf, saldırı isteklerinin indirdiği altyapıyı Mirai türevi Potassium botnetine bağladı; ama bu isteklerin botneti gerçekten kurduğu kanıtlanmadı.
- Cybersecuritynews (23 Ekim), istismar kodunun herkese açık hale geldiğini ve botnet kurma denemeleri görüldüğünü yazdı. Aynı habere göre Sophos yalnızca başarısız denemeler gördü, doğrulanmış bir sızma tespit etmedi.
- CISA, 23 Ekim itibarıyla PHP2Shell’i aktif istismar kataloğuna (KEV) henüz eklemedi. O gün eklenenler Arista VeloCloud ve Collabora açıklarıydı.
Ne yapmalısın?
Tek gerçek çözüm hâlâ aynı: PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35’e güncelle (dağıtım paketlerinde yamalı sürüm). Yapılandırmayla tam korunmak mümkün değil. Etkileniyor muyum, nasıl kontrol ederim, sızdıysam ne yaparım: PHP2Shell korunma ve kurtarma rehberi · olayın ilk özeti: /t/164
Düzeltme kaynağı: The Hacker News, 25 Ekim (Unit 42 güncellemesi). Kaynaklar: Unit 42 tehdit özeti (23 Ekim güncellemesi), Arctic Wolf Labs, Cybersecuritynews: istismar kodu açıklandı, Help Net Security, CISA KEV duyuruları 23 Ekim. Kontrol tarihi: 24 Ekim 2026.