Sabahki özetten (Siber gündem · 21 Ekim) sonra gelen önemli haberler. Saldırı tekniği ya da zararlı kod paylaşılmaz; her başlıkta senin ne yapman gerektiği var. Kontrol tarihi: 21 Ekim 2026, 19:00 (TR).
PHP2Shell: yamalar çıktı, hemen güncelle
- PHP’deki iki kritik açığın (CVE-2026-109618, CVE-2026-109619; CVSS 9.2) düzeltmeleri 17:00 civarında yayımlandı: 8.5.12, 8.4.27, 8.3.36, 8.2.35.
- Açıklar PHP’nin motorunda; WordPress, Laravel, Joomla fark etmeksizin web’e hizmet veren her PHP kurulumu etkileniyor. Cloudflare ve watchTowr istismar denemeleri görüyor; başarılı sızma henüz doğrulanmadı.
- Hollanda’da DigiD dahil devlet hizmetleri, ABD’de bazı şirketler önlem olarak sitelerini kapattı. Wiz araştırmacıları olayı 2021’deki Log4Shell’e benzetiyor.
- Sunucun varsa: paketi güncelle, PHP-FPM / Apache’yi yeniden başlat. Paylaşımlı hostingdeysen firmana yazılı sor. Adım adım: PHP2Shell konusu
UpdraftPlus’ın yönetim anahtarları çalındı, WordPress sitelerine arka kapı kuruldu
- UpdraftPlus’ın geliştiricisi TeamUpdraft’ın sitesine 17-18 Ekim’de sızıldı; UpdraftCentral uzaktan yönetim anahtarları çalındı. Saldırganlar bu anahtarlarla bağlı sitelere masum adlı zararlı eklentiler kurdu. ~400.000 sitenin risk altında olabileceği tahmin ediliyor.
- WordPress siten varsa: UpdraftPlus’ı 1.26.13 / 2.26.13’e güncelle, UpdraftCentral anahtarlarını sil, tanımadığın yönetici ve eklenti var mı bak. Ayrıntılı kontrol listesi: Web · Sunucu kategorisi
Plex Media Server’a saldırı: evde film sunucusu kuranlar dikkat
- CISA, Plex Media Server’daki dört açığı (“Plex2Shell”) aktif istismar listesine ekledi. Zincirlenince internete açık Plex sunucusunda şifresiz kod çalıştırılabiliyor; saldırganlar kripto madencisi ve proxy zararlısı kuruyor.
- Açıklar Ağustos’taki 1.43.3.10861 sürümünde kapatıldı. Plex’ini güncelle, ihtiyacın yoksa uzaktan erişimi ve modemdeki port yönlendirmesini kapat. Ayrıntı: Aktif saldırı altındaki açıklar
OVHcloud’un komut satırı aracına bilgi çalan zararlı yazılım konuldu
- Fransız bulut/hosting firması OVHcloud’un açık kaynak CLI aracının GitHub’daki v0.11.0–v0.15.0 sürüm dosyaları, bir geliştiricinin ele geçirilen hesabıyla 19 Ekim’de yaklaşık 1,5 saatliğine değiştirildi. Sahte dosyalar diskteki gizli anahtar ve şifreleri çalmaya çalışıyordu.
- Yalnızca o zaman aralığında aracı kuran ya da güncelleyen etkileniyor. Temiz sürüm v0.16.0. O gün kurduysan aracı güncelle ve o bilgisayarda kayıtlı API anahtarlarını, bulut şifrelerini değiştir.
- Firmaya göre sorun, GitHub’daki “değiştirilemez sürüm” (release immutability) ayarının kapalı olmasıydı. Yazılım yayınlıyorsan bu ayarı aç; kurulum betiklerinde dosya özetini (hash) kontrol et.
SafePay fidye yazılımı: 600’den fazla kurum
- ABD (CISA, FBI), Almanya ve İngiltere’nin ortak uyarısına göre SafePay çetesi Ağustos 2024’ten bu yana en az 600 kuruma saldırdı ve 2026’nın en aktif gruplarından biri.
- Giriş yolları: sızdırılmış şifreler, şifre deneme (brute force), oltalama ve yamanmamış VPN / güvenlik duvarı açıkları. İçeride AnyDesk, TeamViewer gibi meşru uzaktan erişim araçlarını kullanıyor, yedekleri silmeye çalışıyor.
- Şirketinde BT’den sorumluysan: VPN ve güvenlik duvarını güncelle, tüm uzaktan erişimlere çok adımlı doğrulama (MFA) koy, yedeklerin bir kopyasını ağdan ayrı tut: 3-2-1 yedekleme kuralı. Fidye ödemek dosyaların geri geleceğini garanti etmiyor.
Bu haberlerden biri seni ya da şirketini etkiliyor mu? Aşağıya yaz, birlikte bakalım. (Lütfen sunucu adresi, IP ya da şifre paylaşma.)
Kaynaklar: PHP2Shell: php.net, The Hacker News, The Record, Krebs on Security. UpdraftCentral: BleepingComputer, The Hacker News, Patchstack. Plex: CISA KEV (20 Ekim), The Hacker News. OVHcloud: Help Net Security, The Hacker News. SafePay: BleepingComputer, The Record. Kontrol tarihi: 21 Ekim 2026.