Palo Alto Networks Yönetim Arayüzleri PHP2Shell Açıklarıyla Aktif Saldırı Altında

Palo Alto Networks, yakın zamanda yamalanan PHP2Shell güvenlik açıklarının internet üzerinden erişilebilen yönetim arayüzlerine karşı aktif biçimde kullanıldığını açıkladı. Şirket, güvenlik danışma belgesine eklediği güncellemede "İnternete açık Palo Alto Networks yönetim arayüzünü hedef alan aktif istismar gözlemlendiğini" kaydetti.

PHP2Shell Açıkları Nedir ve Neden Tehlikeli?​

CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen ve her ikisi de 9,2 CVSS puanı taşıyan bu güvenlik açıkları, etkilenen PHP sürümlerini çalıştıran sistemlerde kimlik doğrulaması yapılmadan uzaktan kod yürütülmesine imkân veriyor. PHP Foundation, söz konusu açıkları 21 Ekim 2026 tarihinde 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleriyle yamadı.
Palo Alto Networks'ün açıklamasına göre bu sorun yalnızca yönetim web arayüzünü etkiliyor; HTTPS web arayüzü ve XML API hizmeti bu kapsama giriyor. Veri düzlemi (dataplane) arayüzü ise yalnızca üzerinde bir yönetim profili tanımlanmışsa etkileniyor. Şirket ayrıca bu sorundan etkilenmek için herhangi bir özel yapılandırmaya gerek olmadığını ve riskin en yüksek olduğu durumun yönetim arayüzüne dış IP adreslerinden internet üzerinden erişime izin verilmesi olduğunu vurguladı.

Çin Bağlantılı Tehdit Aktörü ve Sunucu İhlalleri​

Bu gelişme, İsrailli siber güvenlik şirketi Dream'in bir açıklaması yayımlamasından birkaç gün sonra ortaya çıktı. Dream, Çin bağlantılı olduğundan şüphelenilen bir tehdit aktörünün PHP2Shell açıklarını, Linux çekirdeğinde yerel ayrıcalık yükseltme güvenlik açığı olan Fragnesia (CVE-2026-46300, CVSS puanı: 7,8) ile birlikte zincirleyerek ABD, Japonya, Tayvan ve Güney Kore'deki 25 sunucuyu ele geçirdiğini bildirdi. Ele geçirilen sistemler arasında ABD hükümeti bağlantılı bir ortama ait üç sistem de yer alıyordu.
Dream, etkilenen güvenlik duvarı satıcısının adını açıklamadı; ancak danışma belgesinin zamanlaması ve diğer ağ güvenliği şirketlerinin kendi ürünlerine yönelik kötü amaçlı bir istismar bildirmemiş olması, bu olayların birbiriyle ilişkili olabileceğine işaret ediyor. Dream'in bulgularına göre saldırgan, sistemlere erişim sağladıktan sonra Active Directory'ye yönelik saldırılar başlattı; ele geçirilen dijital izler kimlik bilgisi çıkarma ve dizin numaralandırma işlemlerini doğruluyor.
CISA (ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı) da CVE-2026-46300'ü Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekleyerek federal kurumların yamaları 31 Ekim 2026'ya kadar uygulamasını zorunlu kıldı. CISA, bu açığın CVE-2026-109618 ve CVE-2026-109619 ile zincirlenerek PHP web kabukları yerleştirmek ve komutları root olarak çalıştırmak amacıyla kullanılabileceğini belirtti.

Etkilenen PAN-OS Sürümleri​

Palo Alto Networks, PHP2Shell açıklarından etkilenen PAN-OS sürümlerini şöyle sıraladı:

• PAN-OS 12.2: 12.2.4-h1'den önceki sürümler (düzeltme: 12.2.4-h1 ve üzeri)
• PAN-OS 12.1: 12.1.4-h13, 12.1.7-h11 ve 12.1.10-h3'ten önceki sürümler (çeşitli ETA tarihleriyle düzeltmeler mevcut)
• PAN-OS 11.2: 11.2.4-h23, 11.2.7-h23, 11.2.10-h16, 11.2.13-h4 ve 11.2.16-h1'den önceki sürümler
• PAN-OS 11.1: 11.1.4-h38, 11.1.6-h40, 11.1.7-h12, 11.1.10-h36, 11.1.13-h16 ve 11.1.16-h4'ten önceki sürümler
• PAN-OS 10.2: 10.2.7-h39, 10.2.10-h42, 10.2.13-h27, 10.2.16-h12 ve 10.2.18-h13'ten önceki sürümler

\n

Henüz Yama Bulunmayan Sürümler İçin Önerilen Önlemler​

Düzeltme sürümü henüz yayımlanmamış PAN-OS versiyonları için Palo Alto Networks şu geçici önlemleri tavsiye ediyor: MGT bağlantı noktasına gelen trafiği bir DP bağlantı noktası üzerinden yönlendirmek; gelen trafik yönetimi için sertifikayı değiştirmek; yönetim arayüzüne gelen trafiği şifreyi çözerek incelemek ve yönetim hizmetlerine gelen trafikte tehdit önlemeyi etkinleştirmek.
Şirket ayrıca PAN-OS 12.2.4 ve sonraki sürümlerde Frontier Sanal Yamalama (ATP Plus) özelliğini kullanan müşterilerin 20 Ekim'de saat 22:21 PT'de yayımlanan Tehdit Kimliği 543004 aracılığıyla önceden koruma altına alındığını bildirdi. Palo Alto Networks, bu sorunun yarattığı güvenlik riskinin yönetim arayüzüne erişimin yalnızca güvenilir dahili IP adresleriyle sınırlandırılmasıyla en aza indirilebileceğini de vurguladı.

Sıkça Sorulan Sorular​

PHP2Shell güvenlik açıkları nelerdir ve hangi CVE numaralarıyla takip edilmektedir?​

PHP2Shell güvenlik açıkları, CVE-2026-109618 ve CVE-2026-109619 olarak takip edilmektedir. Her ikisi de 9,2 CVSS puanına sahip olup etkilenen PHP sürümlerini çalıştıran sistemlerde kimlik doğrulaması yapılmadan uzaktan kod yürütülmesine imkân tanımaktadır.

Palo Alto Networks'ün hangi PAN-OS sürümleri bu açıklardan etkileniyor?​

PAN-OS 10.2, 11.1, 11.2, 12.1 ve 12.2 serisinin belirli alt sürümleri etkilenmektedir. Her seri için farklı düzeltme sürümleri belirlenmiş olup bazıları için yamalar henüz yayımlanmamıştır; bu sürümler için geçici önlemler tavsiye edilmektedir.

Çin bağlantılı tehdit aktörü bu açıkları nasıl kullandı?​

İsrailli siber güvenlik şirketi Dream'in bulgularına göre Çin bağlantılı olduğundan şüphelenilen tehdit aktörü, PHP2Shell açıklarını Linux çekirdeğindeki Fragnesia (CVE-2026-46300) açığıyla zincirleyerek ABD, Japonya, Tayvan ve Güney Kore'deki 25 sunucuyu ele geçirdi. Saldırgan ardından Active Directory'ye yönelik saldırılar başlatarak kimlik bilgisi çıkarma ve dizin numaralandırma işlemleri gerçekleştirdi.

CISA bu güvenlik açıklarına ilişkin hangi önlemi aldı?​

CISA, CVE-2026-46300'ü Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekleyerek federal kurumların yamaları 31 Ekim 2026'ya kadar uygulamasını zorunlu kıldı. CISA ayrıca bu açığın PHP2Shell açıklarıyla zincirlendiğinde PHP web kabukları yerleştirmeye ve komutları root olarak çalıştırmaya olanak tanıdığını açıkladı.

Henüz yama bulunmayan PAN-OS sürümleri için ne yapılması öneriliyor?​

Palo Alto Networks, yaması henüz yayımlanmamış sürümler için MGT portuna gelen trafiği DP portu üzerinden yönlendirmeyi, gelen trafik yönetimi sertifikasını değiştirmeyi, yönetim arayüzüne gelen trafiği şifreyi çözerek incelemeyi ve yönetim hizmetlerine gelen trafikte tehdit önlemeyi etkinleştirmeyi önermektedir.