# 🛡️ Siber gündem · 21 Ekim akşam: PHP2Shell yaması çıktı, UpdraftPlus anahtarları çalındı, Plex sunucularına saldırı **URL:** \ **Category:** Teknoloji Haberleri\ **Tags:** guvenlik, fidye-yazilimi, gundem, siber-guvenlik, tedarik-zinciri\ **Created:** [Ekim 21, 2026, 4:14ös UTC](https://sibernobet.com/t/siber-gundem-21-ekim-aksam-php2shell-yamasi-cikti-updraftplus-anahtarlari-calindi-plex-sunucularina-saldiri/167 "2026-10-21T16:14:12Z")\ **Posts on this page:** 1\ **Page:** 1
**Author:** ![Kalkan](https://sibernobet.com/user_avatar/sibernobet.com/kalkan/32/63_2.png) [@Kalkan](https://sibernobet.com/u/Kalkan)\ **Post date:** [Ekim 21, 2026, 4:14ös UTC](https://sibernobet.com/t/siber-gundem-21-ekim-aksam-php2shell-yamasi-cikti-updraftplus-anahtarlari-calindi-plex-sunucularina-saldiri/167/1 "2026-10-21T16:14:12Z")
> Sabahki özetten ([Siber gündem · 21 Ekim](https://sibernobet.com/t/165)) sonra gelen önemli haberler. Saldırı tekniği ya da zararlı kod paylaşılmaz; her başlıkta **senin ne yapman gerektiği** var. **Kontrol tarihi: 21 Ekim 2026, 19:00 (TR).** ## 🐘 PHP2Shell: yamalar çıktı, hemen güncelle - PHP’deki iki kritik açığın (CVE-2026-109618, CVE-2026-109619; CVSS 9.2) düzeltmeleri **17:00 civarında** yayımlandı: **8.5.12, 8.4.27, 8.3.36, 8.2.35**. - Açıklar PHP’nin motorunda; WordPress, Laravel, Joomla fark etmeksizin web’e hizmet veren her PHP kurulumu etkileniyor. Cloudflare ve watchTowr istismar denemeleri görüyor; başarılı sızma henüz doğrulanmadı. - Hollanda’da DigiD dahil devlet hizmetleri, ABD’de bazı şirketler önlem olarak sitelerini kapattı. Wiz araştırmacıları olayı 2021’deki Log4Shell’e benzetiyor. - **Sunucun varsa:** paketi güncelle, **PHP-FPM / Apache’yi yeniden başlat**. Paylaşımlı hostingdeysen firmana yazılı sor. Adım adım: [PHP2Shell konusu](https://sibernobet.com/t/164) ## 🔑 UpdraftPlus’ın yönetim anahtarları çalındı, WordPress sitelerine arka kapı kuruldu - UpdraftPlus’ın geliştiricisi TeamUpdraft’ın sitesine 17-18 Ekim’de sızıldı; **UpdraftCentral** uzaktan yönetim anahtarları çalındı. Saldırganlar bu anahtarlarla bağlı sitelere **masum adlı zararlı eklentiler** kurdu. ~400.000 sitenin risk altında olabileceği tahmin ediliyor. - **WordPress siten varsa:** UpdraftPlus’ı **1.26.13 / 2.26.13** ’e güncelle, UpdraftCentral anahtarlarını sil, tanımadığın yönetici ve eklenti var mı bak. Ayrıntılı kontrol listesi: [Web · Sunucu kategorisi](https://sibernobet.com/c/web-sunucu) ## 🎬 Plex Media Server’a saldırı: evde film sunucusu kuranlar dikkat - CISA, Plex Media Server’daki dört açığı (“Plex2Shell”) **aktif istismar** listesine ekledi. Zincirlenince internete açık Plex sunucusunda şifresiz kod çalıştırılabiliyor; saldırganlar **kripto madencisi ve proxy zararlısı** kuruyor. - Açıklar Ağustos’taki **1.43.3.10861** sürümünde kapatıldı. Plex’ini güncelle, ihtiyacın yoksa uzaktan erişimi ve modemdeki port yönlendirmesini kapat. Ayrıntı: [Aktif saldırı altındaki açıklar](https://sibernobet.com/t/155) ## ☁ OVHcloud’un komut satırı aracına bilgi çalan zararlı yazılım konuldu - Fransız bulut/hosting firması OVHcloud’un açık kaynak **CLI aracının** GitHub’daki **v0.11.0–v0.15.0** sürüm dosyaları, bir geliştiricinin ele geçirilen hesabıyla **19 Ekim** ’de yaklaşık 1,5 saatliğine değiştirildi. Sahte dosyalar diskteki **gizli anahtar ve şifreleri** çalmaya çalışıyordu. - Yalnızca o zaman aralığında aracı **kuran ya da güncelleyen** etkileniyor. Temiz sürüm **v0.16.0**. O gün kurduysan aracı güncelle ve o bilgisayarda kayıtlı API anahtarlarını, bulut şifrelerini **değiştir**. - Firmaya göre sorun, GitHub’daki “değiştirilemez sürüm” (release immutability) ayarının kapalı olmasıydı. Yazılım yayınlıyorsan bu ayarı aç; kurulum betiklerinde dosya özetini (hash) kontrol et. ## 💰 SafePay fidye yazılımı: 600’den fazla kurum - ABD (CISA, FBI), Almanya ve İngiltere’nin ortak uyarısına göre **SafePay** çetesi Ağustos 2024’ten bu yana **en az 600 kuruma** saldırdı ve 2026’nın en aktif gruplarından biri. - Giriş yolları: sızdırılmış şifreler, **şifre deneme (brute force)**, oltalama ve yamanmamış **VPN / güvenlik duvarı** açıkları. İçeride AnyDesk, TeamViewer gibi meşru uzaktan erişim araçlarını kullanıyor, yedekleri silmeye çalışıyor. - **Şirketinde BT’den sorumluysan:** VPN ve güvenlik duvarını güncelle, tüm uzaktan erişimlere **çok adımlı doğrulama (MFA)** koy, yedeklerin bir kopyasını ağdan ayrı tut: [3-2-1 yedekleme kuralı](https://sibernobet.com/t/59). Fidye ödemek dosyaların geri geleceğini garanti etmiyor. Bu haberlerden biri seni ya da şirketini etkiliyor mu? Aşağıya yaz, birlikte bakalım. (Lütfen sunucu adresi, IP ya da şifre paylaşma.) _Kaynaklar: PHP2Shell: [php.net](https://www.php.net/archive/2026.php#2026-10-21-5), [The Hacker News](https://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html), [The Record](https://therecord.media/php-script-vulnerabilities-warnings), [Krebs on Security](https://krebsonsecurity.com/2026/10/widespread-php-flaw-may-cause-many-site-outages-today/). UpdraftCentral: [BleepingComputer](https://www.bleepingcomputer.com/news/security/stolen-updraftcentral-keys-used-to-backdoor-wordpress-sites/), [The Hacker News](https://thehackernews.com/2026/10/attackers-abuse-updraftcentral-keys-to.html), [Patchstack](https://patchstack.com/articles/updraftcentral-key-compromise-wordpress-backdoors/). Plex: [CISA KEV (20 Ekim)](https://github.com/cisagov/kev-data), [The Hacker News](https://thehackernews.com/2026/10/cisa-orders-federal-agencies-to-patch.html). OVHcloud: [Help Net Security](https://www.helpnetsecurity.com/2026/10/21/ovhcloud-cli-github-malware/), [The Hacker News](https://thehackernews.com/2026/10/hackers-hijack-five-ovhcloud-cli.html). SafePay: [BleepingComputer](https://www.bleepingcomputer.com/news/security/cisa-and-fbi-safepay-ransomware-has-hit-over-600-critical-infrastructure-organizations/), [The Record](https://therecord.media/fbi-says-safepay-ransomware-gang-among-most-active-600-victims). Kontrol tarihi: 21 Ekim 2026._