# 🐘 PHP2Shell artık sahada çalışıyor: tuzak sunucularda 35 web shell, yaması olmayan üçüncü açık ve Kuzey Kore bağlantılı tarama **URL:** \ **Category:** Siber Haberler · Güncel\ **Tags:** web-guvenligi, siber-haberler, php, php2shell\ **Created:** [Ekim 26, 2026, 6:40ös UTC](https://sibernobet.com/t/php2shell-artik-sahada-calisiyor-tuzak-sunucularda-35-web-shell-yamasi-olmayan-ucuncu-acik-ve-kuzey-kore-baglantili-tarama/210 "2026-10-26T18:40:33Z")\ **Posts on this page:** 1\ **Page:** 1
**Author:** ![Kalkan](https://sibernobet.com/user_avatar/sibernobet.com/kalkan/32/63_2.png) [@Kalkan](https://sibernobet.com/u/Kalkan)\ **Post date:** [Ekim 26, 2026, 6:40ös UTC](https://sibernobet.com/t/php2shell-artik-sahada-calisiyor-tuzak-sunucularda-35-web-shell-yamasi-olmayan-ucuncu-acik-ve-kuzey-kore-baglantili-tarama/210/1 "2026-10-26T18:40:33Z")
> **Kısaca:** 21 Ekim’de yaması çıkan **PHP2Shell** açıkları (CVE-2026-109618 ve CVE-2026-109619) artık yalnızca “deneme” aşamasında değil: **24 Ekim’de ilk başarılı sızmalar kayda geçti.** Ayrıca PHP ekibi **henüz yaması olmayan üçüncü bir açık** duyurdu. Sitende PHP varsa yapman gereken iş aynı: **PHP’yi güncelle.** **Kontrol tarihi: 26 Ekim 2026 (TR).** ## 1. İlk başarılı saldırılar doğrulandı - Perplexity’de çalışan güvenlik araştırmacısı **Adel Karimi** , kurduğu tuzak (honeypot) sunucularda **24 Ekim** ’de gerçek saldırganların PHP2Shell ile **kod çalıştırmayı başardığını** yayımladı: 3 tuzak sunucuda toplam **35 çalışan web shell** (sunucuya yerleştirilen gizli kontrol paneli). - Tuzaklar PHP 8.4.26 + Apache mod\_php kullanıyordu. Saldırı, herkese açık örnek istismar koduyla aynı 4 adımlı zinciri izledi. Saldırgan sunucuya wget/curl ile ek dosya çekmeye çalıştı. - Expel araştırmacısı **Marcus Hutchins** bulguları doğruladı. - Karimi’nin dürüst notu: tuzaklar saldırgan için **bilerek kolay** ayarlanmıştı; saldırının başka yapılandırmalarda ne kadar güvenilir çalıştığı henüz belli değil. Ama “sadece tarama var” dönemi bitti. ## 2. Yaması olmayan üçüncü açık: CVE-2026-115560 - PHP ekibi 23 Ekim’de yeni bir uzaktan kod çalıştırma açığı duyurdu. **Henüz yaması yok.** - İyi haber: yalnızca **çalışma anında `ini_set()` ile `session.serialize_handler` ayarını `php` yapan** uygulamaları etkiliyor. Bu, yaygın olmayan bir kod + ayar birleşimi. - **Geçici önlem (herkese tavsiye):** `php.ini` dosyasında ya da PHP-FPM havuz ayarında `session.upload_progress.enabled = 0` yap ve PHP işçilerini yeniden başlat. `.user.ini` dosyası yetmez. ## 3. Kuzey Kore bağlantılı sessiz tarama - Tehdit istihbaratı firması **CYFIRMA** , 21 ele geçirilmiş sunucudan yürütülen, **Kuzey Kore bağlantılı olduğundan şüphelenilen** (orta güven, Lazarus çevresi) yavaş ve sessiz bir PHP2Shell taraması tespit etti. - 12 ülkede **216 yamasız sunucu** listelenmiş: kamu, finans, havacılık, lojistik ve online ödeme sistemleri. Tarama, alarm eşiklerine takılmamak için yavaş yapılıyor. ## 4. Düzeltme: Avrupa kamu kurumu iddiası geri çekildi 24 Ekim’de “yapay zekâ destekli saldırganlar PHP2Shell ile bir Avrupa kamu kurumuna sızdı” diye yazmıştık ([/t/190](https://sibernobet.com/t/190)). Bilgiyi veren **Unit 42 bu değerlendirmeyi geri çekti** : saldırı yaşandı ama ilk girişin PHP2Shell ile yapıldığı doğrulanamadı. İlgili yazılarımızı düzelttik. ## 5. CISA ve Türkiye - ABD siber güvenlik ajansı **CISA** , 26 Ekim sabahı itibarıyla açıkları hâlâ “aktif istismar edilen açıklar” (KEV) kataloğuna eklemedi; 23 Ekim’de yalnızca bir tespit kuralı (Sigma) yayımladı. - Türkiye’de Cumhurbaşkanlığı Siber Güvenlik Başkanlığı 22 Ekim’de ülke çapında tarama başlattığını ve kurumlara acil bildirim gönderdiğini, kamu hizmetlerinin etkilenmediğini açıklamıştı (tek kaynak). ## ✅ Ne yapmalısın? 1. **PHP’yi güncelle:** 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 (ya da dağıtımının yamalı paketi). **WordPress’i veya eklentileri güncellemek bunu çözmez** ; sunucudaki PHP’nin kendisi güncellenmeli. 2. **PHP 8.1 ve daha eski** kullanıyorsan yama gelmeyecek; desteklenen bir sürüme geç. 3. Hemen güncelleyemiyorsan: `session.upload_progress.enabled = 0` + işçileri yeniden başlat. 4. Paylaşımlı hosting kullanıyorsan hosting firmana “PHP2Shell yaması uygulandı mı?” diye sor. 5. Sızma şüphen varsa adım adım temizlik: [PHP2Shell korunma ve kurtarma rehberi](https://sibernobet.com/t/174) _Kaynaklar: [BleepingComputer, 26 Ekim](https://www.bleepingcomputer.com/news/security/php2shell-security-flaws-now-sucessfully-exploited-in-the-wild/), [SecurityWeek, 26 Ekim](https://www.securityweek.com/php2shell-exploitation-moves-from-probes-to-working-shells/), [The Hacker News, 25 Ekim (Unit 42 düzeltmesi + CYFIRMA)](https://thehackernews.com/2026/10/php2shell-exploitation-hits-government.html), [php.net duyuruları (21 ve 23 Ekim)](https://www.php.net/), [sondakika.com, 22 Ekim (Türkiye açıklaması)](https://www.sondakika.com/haber/haber-dunyayi-alarma-geciren-siber-acik-turkiyeden-20354920/). Kontrol tarihi: 26 Ekim 2026._ 💬 Sunucunda PHP sürümünü kontrol ettin mi? Hosting firman ne dedi? Aşağıya yaz.