🐘 PHP2Shell artık sahada çalışıyor: tuzak sunucularda 35 web shell, yaması olmayan üçüncü açık ve Kuzey Kore bağlantılı tarama

Siber Haberler · Güncel
, , ,
1

Kısaca: 21 Ekim’de yaması çıkan PHP2Shell açıkları (CVE-2026-109618 ve CVE-2026-109619) artık yalnızca “deneme” aşamasında değil: 24 Ekim’de ilk başarılı sızmalar kayda geçti. Ayrıca PHP ekibi henüz yaması olmayan üçüncü bir açık duyurdu. Sitende PHP varsa yapman gereken iş aynı: PHP’yi güncelle. Kontrol tarihi: 26 Ekim 2026 (TR).

1. İlk başarılı saldırılar doğrulandı

  • Perplexity’de çalışan güvenlik araştırmacısı Adel Karimi, kurduğu tuzak (honeypot) sunucularda 24 Ekim’de gerçek saldırganların PHP2Shell ile kod çalıştırmayı başardığını yayımladı: 3 tuzak sunucuda toplam 35 çalışan web shell (sunucuya yerleştirilen gizli kontrol paneli).
  • Tuzaklar PHP 8.4.26 + Apache mod_php kullanıyordu. Saldırı, herkese açık örnek istismar koduyla aynı 4 adımlı zinciri izledi. Saldırgan sunucuya wget/curl ile ek dosya çekmeye çalıştı.
  • Expel araştırmacısı Marcus Hutchins bulguları doğruladı.
  • Karimi’nin dürüst notu: tuzaklar saldırgan için bilerek kolay ayarlanmıştı; saldırının başka yapılandırmalarda ne kadar güvenilir çalıştığı henüz belli değil. Ama “sadece tarama var” dönemi bitti.

2. Yaması olmayan üçüncü açık: CVE-2026-115560

  • PHP ekibi 23 Ekim’de yeni bir uzaktan kod çalıştırma açığı duyurdu. Henüz yaması yok.
  • İyi haber: yalnızca çalışma anında ini_set() ile session.serialize_handler ayarını php yapan uygulamaları etkiliyor. Bu, yaygın olmayan bir kod + ayar birleşimi.
  • Geçici önlem (herkese tavsiye): php.ini dosyasında ya da PHP-FPM havuz ayarında
    session.upload_progress.enabled = 0
    yap ve PHP işçilerini yeniden başlat. .user.ini dosyası yetmez.

3. Kuzey Kore bağlantılı sessiz tarama

  • Tehdit istihbaratı firması CYFIRMA, 21 ele geçirilmiş sunucudan yürütülen, Kuzey Kore bağlantılı olduğundan şüphelenilen (orta güven, Lazarus çevresi) yavaş ve sessiz bir PHP2Shell taraması tespit etti.
  • 12 ülkede 216 yamasız sunucu listelenmiş: kamu, finans, havacılık, lojistik ve online ödeme sistemleri. Tarama, alarm eşiklerine takılmamak için yavaş yapılıyor.

4. Düzeltme: Avrupa kamu kurumu iddiası geri çekildi

24 Ekim’de “yapay zekâ destekli saldırganlar PHP2Shell ile bir Avrupa kamu kurumuna sızdı” diye yazmıştık (/t/190). Bilgiyi veren Unit 42 bu değerlendirmeyi geri çekti: saldırı yaşandı ama ilk girişin PHP2Shell ile yapıldığı doğrulanamadı. İlgili yazılarımızı düzelttik.

5. CISA ve Türkiye

  • ABD siber güvenlik ajansı CISA, 26 Ekim sabahı itibarıyla açıkları hâlâ “aktif istismar edilen açıklar” (KEV) kataloğuna eklemedi; 23 Ekim’de yalnızca bir tespit kuralı (Sigma) yayımladı.
  • Türkiye’de Cumhurbaşkanlığı Siber Güvenlik Başkanlığı 22 Ekim’de ülke çapında tarama başlattığını ve kurumlara acil bildirim gönderdiğini, kamu hizmetlerinin etkilenmediğini açıklamıştı (tek kaynak).

:white_check_mark: Ne yapmalısın?

  1. PHP’yi güncelle: 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 (ya da dağıtımının yamalı paketi). WordPress’i veya eklentileri güncellemek bunu çözmez; sunucudaki PHP’nin kendisi güncellenmeli.
  2. PHP 8.1 ve daha eski kullanıyorsan yama gelmeyecek; desteklenen bir sürüme geç.
  3. Hemen güncelleyemiyorsan: session.upload_progress.enabled = 0 + işçileri yeniden başlat.
  4. Paylaşımlı hosting kullanıyorsan hosting firmana “PHP2Shell yaması uygulandı mı?” diye sor.
  5. Sızma şüphen varsa adım adım temizlik: PHP2Shell korunma ve kurtarma rehberi

Kaynaklar: BleepingComputer, 26 Ekim, SecurityWeek, 26 Ekim, The Hacker News, 25 Ekim (Unit 42 düzeltmesi + CYFIRMA), php.net duyuruları (21 ve 23 Ekim), sondakika.com, 22 Ekim (Türkiye açıklaması). Kontrol tarihi: 26 Ekim 2026.

:speech_balloon: Sunucunda PHP sürümünü kontrol ettin mi? Hosting firman ne dedi? Aşağıya yaz.

🐘 PHP2Shell 23–24 Ekim: istismar kodu herkese açık; Avrupa kamu kurumu iddiası geri çekildi (düzeltme)