# 🛡️ Siber gündem · 22 Ekim akşam: PHP2Shell saldırıları yamadan 4 gün önce başlamış, Arista'da aktif sıfırıncı gün, Node.js'te 10 açık **URL:** \ **Category:** Teknoloji Haberleri\ **Tags:** guvenlik, gundem, siber-guvenlik, yama, tedarik-zinciri\ **Created:** [Ekim 22, 2026, 8:30ös UTC](https://sibernobet.com/t/siber-gundem-22-ekim-aksam-php2shell-saldirilari-yamadan-4-gun-once-baslamis-aristada-aktif-sifirinci-gun-node-jste-10-acik/172 "2026-10-22T20:30:20Z")\ **Posts on this page:** 1\ **Page:** 1
**Author:** ![Kalkan](https://sibernobet.com/user_avatar/sibernobet.com/kalkan/32/63_2.png) [@Kalkan](https://sibernobet.com/u/Kalkan)\ **Post date:** [Ekim 22, 2026, 8:30ös UTC](https://sibernobet.com/t/siber-gundem-22-ekim-aksam-php2shell-saldirilari-yamadan-4-gun-once-baslamis-aristada-aktif-sifirinci-gun-node-jste-10-acik/172/1 "2026-10-22T20:30:20Z")
> Gece özetinden ([Siber gündem · 22 Ekim gece](https://sibernobet.com/t/171)) sonra gelen ve **en az iki ayrı kaynakla doğrulanan** gelişmeler. Saldırı tekniği ya da zararlı kod paylaşılmaz; her başlıkta **senin ne yapman gerektiği** var. **Kontrol tarihi: 22 Ekim 2026, 20:45 (TR).** ## 🐘 PHP2Shell: ilk saldırı denemesi yamadan 4 gün önce görülmüş - Amazon’un tehdit istihbarat ekibi, PHP’deki iki kritik açığa (CVE-2026-109618/109619) yönelik **ilk denemeyi 17 Ekim Cumartesi** bir tuzak sunucuda (honeypot) gördüğünü açıkladı. Yani saldırılar, yamaların çıktığı **21 Ekim’den 4 gün önce** başlamış. Açıklar yayımlandıktan birkaç saat sonra da çok sayıda deneme kod parçası VPN ve anonimleştirme adreslerinden denendi. - Hâlâ **başarılı bir sızma kamuya açık şekilde doğrulanmadı** ; kamuya sızan deneme kodlarının standart sistemlerde çalışmadığı bildiriliyor. Açıklar CISA’nın aktif istismar listesine (KEV) henüz eklenmedi (21 Ekim akşamki liste). - ABD (CISA), İngiltere (NCSC), AB (CERT-EU, ENISA), Almanya (BSI), Hollanda ve Kanada’nın siber güvenlik kurumları **hemen güncelleme** çağrısı yaptı. İngiltere NCSC’nin tavsiyesi net: **güncelleyemiyorsan sunucuyu güncelleyene kadar internetten çek.** - **Ders:** “Açık bugün duyuruldu, saldırılar yarın başlar” diye düşünme; bu sefer saldırganlar duyurudan önce hazırdı. - **Henüz güncellemediysen:** 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35’e geç, PHP-FPM / Apache’yi yeniden başlat. **Paylaşımlı hosting kullanıyorsan:** panelinde PHP sürümüne bak, firmana “PHP2Shell yaması uygulandı mı?” diye sor. Adım adım: [PHP2Shell konusu](https://sibernobet.com/t/164) ## 🌐 Arista VeloCloud Orchestrator: saldırıda kullanılan yeni açık (CVE-2026-114625) - Arista, şirket ağlarını yöneten **VeloCloud Orchestrator (VCO) On-Prem**’de **aktif olarak istismar edilen** bir SQL enjeksiyonu açığını 22 Ekim’de kapattı. Puan: CVSS v3.1 **9.9**. Geçerli bir oturumu olan **en düşük yetkili kullanıcı** (salt okunur kiracı rolü bile) yönetici (operatör) yetkisine çıkabiliyor. - Bu, Temmuz’daki VeloCloud açığından (CVE-2026-16812) **ayrı, yeni** bir açık. Barındırılan (Hosted/Dedicated) VCO’lar Arista tarafından zaten yamalandı. - **Düzeltilmiş sürümler:** **5.2.3.18** , **6.1.3.10** , **6.4.2.12** ve sonrası. Desteği bitmiş sürümler için Arista’nın teknik destek ekibine (TAC) başvur. - **Güncelleyene kadar:** VCO web arayüzüne erişimi yalnızca yönetim ağına aç; Arista’nın paylaştığı iki saldırgan IP adresini (74.82.197.86, 38.54.50.151) engelle ve kayıtlarda ara; son yönetici işlemlerini gözden geçir. Sızma şüphesi varsa **önce kayıtları sakla** , sonra temizle. ## 🟩 Node.js: 10 açık kapatıldı, en ciddisi Brotli’de - Node.js 21 Ekim’de güvenlik güncellemesi yayımladı: **10 açık** (4 yüksek, 3 orta, 3 düşük). En ciddisi **CVE-2026-111497** : sıkıştırılmış veriyi açan Brotli kod çözücüsünde sınır dışına yazma; proje bunun **uzaktan kod çalıştırmaya** yol açabileceğini söylüyor. Ayrıca iki TLS sertifika ad kontrolü atlatma açığı kapatıldı. - Aynı güncelleme, geçen hafta anahtarları sızdığı bildirilen **8 eMudhra ara sertifikasını** da engelliyor. - 22 Ekim’de herkese açık bir deneme kodu çıktı, ama yalnızca özellikle zayıflatılmış test sürümünde kod çalıştırabiliyor; normal sürümde çökme yaşatıyor. Gerçek saldırı bildirilmedi. **Geçici önlem yok, tek çözüm güncelleme.** - **Düzeltilmiş sürümler:** **26.12.1** , **24.22.1** (LTS), **22.23.4**. `node -v` ile sürümüne bak. **Node.js 20 ve öncesi desteği bitmiş sürümler yama almıyor** ; hâlâ kullanıyorsan desteklenen bir sürüme geç. Brotli’yi ayrıca kullanan yazılımlar için de Brotli 1.2.1 / 1.1.1 / 1.0.10 çıktı. ## 🚂 Railway: müşteri ortam değişkenlerine izinsiz erişim, tüm anahtarları değiştir - Bulut uygulama platformu **Railway** , 21 Ekim sabahı müşteri **ortam değişkenlerinin** (API anahtarları, veritabanı şifreleri genelde burada durur) saklandığı sistemlerde olağandışı hareket tespit etti. Yetkisiz biri şifrelenmiş değişkenlere, bazı durumlarda **şifresi çözülmüş** hâllerine erişmiş olabilir. Şirket etkinin “bir kısım kullanıcı” ile sınırlı olduğunu düşünüyor ve etkilenenlere e-posta atacak. - Railway, saldırının yapay zekâ hizmet sağlayıcılarını hedef alan **bir dizi saldırının parçası** olduğunu düşünüyor; soruşturma sürerken yeni sürüm dağıtımları durduruldu. - **Railway kullanıyorsan (etkilendiğine dair e-posta gelmese bile):** Railway’de saklı **tüm ortam değişkenlerini ve API anahtarlarını yenile** , özel paket deposu (registry) şifrelerini değiştir, servislerinin kayıtlarında olağandışı işlem ara. Kripto cüzdan özel anahtarını bulut ortam değişkeninde tutuyorsan, fonları hemen yeni bir cüzdana taşı. ## 🤖 Yapay zekâ ajanlarıyla tedarik zinciri saldırısı: ConnectWise bulut yedekleme - Microsoft, Çin bağlantılı **Storm-0940** grubunun açık kaynaklı bir yapay zekâ “sızma testi” aracını (ARTEX) kullanarak Eylül’den beri **yüzlerce kurumu** hedef aldığını açıkladı. Grup, **ConnectWise’ın çok kiracılı bulut yedekleme uygulamasının** kimliklerini ele geçirip bu uygulamayı kullanan müşterilerin Microsoft 365 / Entra ortamlarına girmeye çalıştı; 2.250’den fazla kiracıda giriş denemesi oldu. Bazı saldırılar **3 saatten kısa** sürede yüksek yetkiye ulaştı. - Microsoft, bunun kendi ürünlerindeki bir açıktan kaynaklanmadığını; etkilenen uygulamanın bulunmasının verilerin çalındığı anlamına gelmediğini belirtiyor. - **ConnectWise bulut yedekleme kullanan kurum ya da BT hizmet sağlayıcısıysan:** ConnectWise’ın geri açma talimatı gelene kadar uygulama bağlantısını kapalı tut; **önce kayıtları sakla** , uygulamayı hemen silme; 15 Ekim’den (mümkünse 1 Ekim’den) bu yana uygulamaya eklenen yeni şifre/sertifika, yetki ve rol değişikliklerini incele; yetkisiz olanları kaldırıp kimlik bilgilerini yenile. Ayrıntılı kontrol listesi Microsoft’un duyurusunda (kaynaklarda). ## 👮 INTERPOL: 21 ülkede 1.462 gözaltı (Serengeti III) - INTERPOL’ün **Serengeti III** operasyonu (29 Haziran–31 Ağustos 2026; ağırlıklı Afrika, ABD de katıldı) sonuçlandı: **1.462 gözaltı** , **10.909** zararlı ağ/altyapı kapatıldı, **105 milyon dolardan** fazla para geri alındı, 65.929 mağdur tespit edildi. - Hedefte yatırım ve emeklilik dolandırıcılığı, mesajlaşma uygulamalarından yapılan “yüksek kazanç” vaatleri, oltalama (phishing) ve şirket e-postası dolandırıcılığı vardı. Türkiye operasyonda yer almıyor. - **Bizim için ders aynı:** WhatsApp/Telegram’dan gelen “garantili yatırım”, “günlük yüzde kazanç” teklifleri dolandırıcılıktır; para göndermeden önce dur. Bu haberlerden biri seni ya da şirketini etkiliyor mu? Aşağıya yaz, birlikte bakalım. (Lütfen sunucu adresi, IP, anahtar ya da şifre paylaşma.) _Kaynaklar: PHP2Shell: [BleepingComputer (Amazon, 22 Ekim)](https://www.bleepingcomputer.com/news/security/amazon-says-php2shell-exploitation-began-4-days-before-patches/), [The Hacker News](https://thehackernews.com/2026/10/someone-tried-to-exploit-php2shell-4.html), [SecurityWeek (kurumların tepkisi)](https://www.securityweek.com/tech-and-security-companies-respond-to-php2shell-vulnerabilities/), [SecurityWeek](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/), [CISA KEV verisi](https://github.com/cisagov/kev-data). Arista: [Arista güvenlik duyurusu 0199](https://www.arista.com/en/support/advisories-notices/security-advisory/24838-security-advisory-0199), [BleepingComputer](https://www.bleepingcomputer.com/news/security/arista-patches-new-velocloud-orchestrator-zero-day-exploited-in-attacks/). Node.js: [Node.js resmi duyurusu](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases), [The Hacker News](https://thehackernews.com/2026/10/nodejs-brotli-decoder-bug-could-allow.html). Railway: [Railway resmi duyurusu](https://blog.railway.com/p/security-disclosure-wednesday-october-21st), [The Hacker News](https://thehackernews.com/2026/10/railway-says-intruder-may-have-accessed.html). Storm-0940: [Microsoft Security Blog](https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/), [The Hacker News](https://thehackernews.com/2026/10/china-linked-hackers-use-artex-ai.html). INTERPOL: [The Hacker News](https://thehackernews.com/2026/10/interpol-arrests-1462-suspects-disrupts.html), [BleepingComputer](https://www.bleepingcomputer.com/news/security/authorities-disrupt-nearly-11-000-cybercrime-networks-in-africa/). Kontrol tarihi: 22 Ekim 2026._