Gece özetinden (Siber gündem · 22 Ekim gece) sonra gelen ve en az iki ayrı kaynakla doğrulanan gelişmeler. Saldırı tekniği ya da zararlı kod paylaşılmaz; her başlıkta senin ne yapman gerektiği var. Kontrol tarihi: 22 Ekim 2026, 20:45 (TR).
PHP2Shell: ilk saldırı denemesi yamadan 4 gün önce görülmüş
- Amazon’un tehdit istihbarat ekibi, PHP’deki iki kritik açığa (CVE-2026-109618/109619) yönelik ilk denemeyi 17 Ekim Cumartesi bir tuzak sunucuda (honeypot) gördüğünü açıkladı. Yani saldırılar, yamaların çıktığı 21 Ekim’den 4 gün önce başlamış. Açıklar yayımlandıktan birkaç saat sonra da çok sayıda deneme kod parçası VPN ve anonimleştirme adreslerinden denendi.
- Hâlâ başarılı bir sızma kamuya açık şekilde doğrulanmadı; kamuya sızan deneme kodlarının standart sistemlerde çalışmadığı bildiriliyor. Açıklar CISA’nın aktif istismar listesine (KEV) henüz eklenmedi (21 Ekim akşamki liste).
- ABD (CISA), İngiltere (NCSC), AB (CERT-EU, ENISA), Almanya (BSI), Hollanda ve Kanada’nın siber güvenlik kurumları hemen güncelleme çağrısı yaptı. İngiltere NCSC’nin tavsiyesi net: güncelleyemiyorsan sunucuyu güncelleyene kadar internetten çek.
- Ders: “Açık bugün duyuruldu, saldırılar yarın başlar” diye düşünme; bu sefer saldırganlar duyurudan önce hazırdı.
- Henüz güncellemediysen: 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35’e geç, PHP-FPM / Apache’yi yeniden başlat. Paylaşımlı hosting kullanıyorsan: panelinde PHP sürümüne bak, firmana “PHP2Shell yaması uygulandı mı?” diye sor. Adım adım: PHP2Shell konusu
Arista VeloCloud Orchestrator: saldırıda kullanılan yeni açık (CVE-2026-114625)
- Arista, şirket ağlarını yöneten VeloCloud Orchestrator (VCO) On-Prem’de aktif olarak istismar edilen bir SQL enjeksiyonu açığını 22 Ekim’de kapattı. Puan: CVSS v3.1 9.9. Geçerli bir oturumu olan en düşük yetkili kullanıcı (salt okunur kiracı rolü bile) yönetici (operatör) yetkisine çıkabiliyor.
- Bu, Temmuz’daki VeloCloud açığından (CVE-2026-16812) ayrı, yeni bir açık. Barındırılan (Hosted/Dedicated) VCO’lar Arista tarafından zaten yamalandı.
- Düzeltilmiş sürümler: 5.2.3.18, 6.1.3.10, 6.4.2.12 ve sonrası. Desteği bitmiş sürümler için Arista’nın teknik destek ekibine (TAC) başvur.
- Güncelleyene kadar: VCO web arayüzüne erişimi yalnızca yönetim ağına aç; Arista’nın paylaştığı iki saldırgan IP adresini (74.82.197.86, 38.54.50.151) engelle ve kayıtlarda ara; son yönetici işlemlerini gözden geçir. Sızma şüphesi varsa önce kayıtları sakla, sonra temizle.
Node.js: 10 açık kapatıldı, en ciddisi Brotli’de
- Node.js 21 Ekim’de güvenlik güncellemesi yayımladı: 10 açık (4 yüksek, 3 orta, 3 düşük). En ciddisi CVE-2026-111497: sıkıştırılmış veriyi açan Brotli kod çözücüsünde sınır dışına yazma; proje bunun uzaktan kod çalıştırmaya yol açabileceğini söylüyor. Ayrıca iki TLS sertifika ad kontrolü atlatma açığı kapatıldı.
- Aynı güncelleme, geçen hafta anahtarları sızdığı bildirilen 8 eMudhra ara sertifikasını da engelliyor.
- 22 Ekim’de herkese açık bir deneme kodu çıktı, ama yalnızca özellikle zayıflatılmış test sürümünde kod çalıştırabiliyor; normal sürümde çökme yaşatıyor. Gerçek saldırı bildirilmedi. Geçici önlem yok, tek çözüm güncelleme.
- Düzeltilmiş sürümler: 26.12.1, 24.22.1 (LTS), 22.23.4.
node -vile sürümüne bak. Node.js 20 ve öncesi desteği bitmiş sürümler yama almıyor; hâlâ kullanıyorsan desteklenen bir sürüme geç. Brotli’yi ayrıca kullanan yazılımlar için de Brotli 1.2.1 / 1.1.1 / 1.0.10 çıktı.
Railway: müşteri ortam değişkenlerine izinsiz erişim, tüm anahtarları değiştir
- Bulut uygulama platformu Railway, 21 Ekim sabahı müşteri ortam değişkenlerinin (API anahtarları, veritabanı şifreleri genelde burada durur) saklandığı sistemlerde olağandışı hareket tespit etti. Yetkisiz biri şifrelenmiş değişkenlere, bazı durumlarda şifresi çözülmüş hâllerine erişmiş olabilir. Şirket etkinin “bir kısım kullanıcı” ile sınırlı olduğunu düşünüyor ve etkilenenlere e-posta atacak.
- Railway, saldırının yapay zekâ hizmet sağlayıcılarını hedef alan bir dizi saldırının parçası olduğunu düşünüyor; soruşturma sürerken yeni sürüm dağıtımları durduruldu.
- Railway kullanıyorsan (etkilendiğine dair e-posta gelmese bile): Railway’de saklı tüm ortam değişkenlerini ve API anahtarlarını yenile, özel paket deposu (registry) şifrelerini değiştir, servislerinin kayıtlarında olağandışı işlem ara. Kripto cüzdan özel anahtarını bulut ortam değişkeninde tutuyorsan, fonları hemen yeni bir cüzdana taşı.
Yapay zekâ ajanlarıyla tedarik zinciri saldırısı: ConnectWise bulut yedekleme
- Microsoft, Çin bağlantılı Storm-0940 grubunun açık kaynaklı bir yapay zekâ “sızma testi” aracını (ARTEX) kullanarak Eylül’den beri yüzlerce kurumu hedef aldığını açıkladı. Grup, ConnectWise’ın çok kiracılı bulut yedekleme uygulamasının kimliklerini ele geçirip bu uygulamayı kullanan müşterilerin Microsoft 365 / Entra ortamlarına girmeye çalıştı; 2.250’den fazla kiracıda giriş denemesi oldu. Bazı saldırılar 3 saatten kısa sürede yüksek yetkiye ulaştı.
- Microsoft, bunun kendi ürünlerindeki bir açıktan kaynaklanmadığını; etkilenen uygulamanın bulunmasının verilerin çalındığı anlamına gelmediğini belirtiyor.
- ConnectWise bulut yedekleme kullanan kurum ya da BT hizmet sağlayıcısıysan: ConnectWise’ın geri açma talimatı gelene kadar uygulama bağlantısını kapalı tut; önce kayıtları sakla, uygulamayı hemen silme; 15 Ekim’den (mümkünse 1 Ekim’den) bu yana uygulamaya eklenen yeni şifre/sertifika, yetki ve rol değişikliklerini incele; yetkisiz olanları kaldırıp kimlik bilgilerini yenile. Ayrıntılı kontrol listesi Microsoft’un duyurusunda (kaynaklarda).
INTERPOL: 21 ülkede 1.462 gözaltı (Serengeti III)
- INTERPOL’ün Serengeti III operasyonu (29 Haziran–31 Ağustos 2026; ağırlıklı Afrika, ABD de katıldı) sonuçlandı: 1.462 gözaltı, 10.909 zararlı ağ/altyapı kapatıldı, 105 milyon dolardan fazla para geri alındı, 65.929 mağdur tespit edildi.
- Hedefte yatırım ve emeklilik dolandırıcılığı, mesajlaşma uygulamalarından yapılan “yüksek kazanç” vaatleri, oltalama (phishing) ve şirket e-postası dolandırıcılığı vardı. Türkiye operasyonda yer almıyor.
- Bizim için ders aynı: WhatsApp/Telegram’dan gelen “garantili yatırım”, “günlük yüzde kazanç” teklifleri dolandırıcılıktır; para göndermeden önce dur.
Bu haberlerden biri seni ya da şirketini etkiliyor mu? Aşağıya yaz, birlikte bakalım. (Lütfen sunucu adresi, IP, anahtar ya da şifre paylaşma.)
Kaynaklar: PHP2Shell: BleepingComputer (Amazon, 22 Ekim), The Hacker News, SecurityWeek (kurumların tepkisi), SecurityWeek, CISA KEV verisi. Arista: Arista güvenlik duyurusu 0199, BleepingComputer. Node.js: Node.js resmi duyurusu, The Hacker News. Railway: Railway resmi duyurusu, The Hacker News. Storm-0940: Microsoft Security Blog, The Hacker News. INTERPOL: The Hacker News, BleepingComputer. Kontrol tarihi: 22 Ekim 2026.