Palo Alto Networks Yönetim Arayüzlerine PHP2Shell Saldırıları Başladı

Palo Alto Networks, yakın zamanda yamalanan PHP2Shell güvenlik açıklarının internete açık bırakılmış PAN-OS yönetim arayüzlerinde aktif biçimde kullanıldığını açıkladı. Şirket, yayımladığı güvenlik danışma belgesine eklediği güncellemede "İnternete açık Palo Alto Networks yönetim arayüzlerini hedef alan aktif istismar gözlemlenmiştir" ifadesini kullandı.

Zafiyetlerin Teknik Boyutu​

CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen ve her ikisi de 9,2 CVSS puanı taşıyan bu açıklar, etkilenen PHP sürümlerini çalıştıran sistemlerde kimlik doğrulaması gerektirmeksizin uzaktan kod yürütülmesine olanak sağlıyor. PHP Foundation, söz konusu açıkları 21 Ekim 2026 tarihinde PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleriyle kapattı.
Palo Alto Networks'ün açıklamasına göre bu sorun herhangi bir özel yapılandırma gerektirmeksizin sistemleri etkiliyor. Risk, yönetim arayüzüne dış IP adreslerinden erişime izin verildiği durumlarda en yüksek seviyeye ulaşıyor. Şirket, açığın yalnızca HTTPS web arayüzü ve XML API hizmetini kapsayan yönetim web arayüzünü etkilediğini; veri düzlemi arayüzünü ise yalnızca üzerinde bir yönetim profili tanımlıysa etkilediğini belirtti.

İsrail Siber Güvenlik Şirketinin Bulguları ve Çin Bağlantısı İddiası​

Bu gelişme, İsrailli siber güvenlik şirketi Dream'in bir Çin bağlantılı tehdit aktörünün PHP2Shell açıklarını Linux çekirdeğindeki yerel ayrıcalık yükseltme zafiyetiyle (Fragnesia, CVE-2026-46300, CVSS: 7,8) birleştirerek ABD, Japonya, Tayvan ve Güney Kore'de toplam 25 sunucuyu ele geçirdiğini bildirmesinin hemen ardından gündeme geldi. Saldırıya uğrayan sistemler arasında bir ABD hükümeti bağlantılı ortama ait üç sistem de yer alıyor.
Dream, raporunda "Etkilenen cihazlar büyük bir tedarikçinin güvenlik duvarı yazılımının belirli sürümlerini çalıştırıyor" ifadesini kullandı. Şirket ayrıca saldırganın Active Directory'ye yönelik saldırılar başlattığını ve ele geçirilen dijital izlerin kimlik bilgisi çalma ile dizin numaralandırma işlemlerine işaret ettiğini aktardı. Dream, etkilenen güvenlik duvarı satıcısının adını açıklamadı; ancak danışma belgesinin zamanlaması ve diğer ağ güvenliği şirketlerinin kendi ürünlerine yönelik kötü amaçlı bir istismar bildirmemesi, bu olayların birbiriyle bağlantılı olabileceğine işaret ediyor.

CISA'nın Müdahalesi ve Federal Zorunluluk​

Gelişmeler üzerine ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), CVE-2026-46300'ü Bilinen İstismar Edilen Zafiyetler (KEV) kataloğuna ekleyerek federal kurumların yamaları 31 Ekim 2026'ya kadar uygulamasını zorunlu kıldı. CISA, "Bu zafiyet, CVE-2026-109618 ve CVE-2026-109619 ile zincirlendiğinde PHP web shell yerleştirmeye ve komutları root olarak çalıştırmaya imkân tanıyor" uyarısını yaptı.

Etkilenen PAN-OS Sürümleri ve Yamalar​

Palo Alto Networks, PHP2Shell'den etkilenen PAN-OS sürümlerini ve ilgili düzeltme sürümlerini ayrıntılı biçimde listeledi. Etkilenen başlıca sürümler ve düzeltmeleri şöyle:

• PAN-OS 12.2: 12.2.4-h1 öncesi sürümler (Düzeltme: 12.2.4-h1 ve üzeri)
• PAN-OS 12.1: 12.1.4-h13, 12.1.7-h11 ve 12.1.10-h3 öncesi çeşitli alt sürümler
• PAN-OS 11.2: 11.2.4-h23, 11.2.7-h23, 11.2.10-h16, 11.2.13-h4 ve 11.2.16-h1 öncesi sürümler
• PAN-OS 11.1: 11.1.4-h38, 11.1.6-h40, 11.1.7-h12, 11.1.10-h36, 11.1.13-h16 ve 11.1.16-h4 öncesi sürümler
• PAN-OS 10.2: 10.2.7-h39, 10.2.10-h42, 10.2.13-h27, 10.2.16-h12 ve 10.2.18-h13 öncesi sürümler

\nHenüz düzeltme sürümü yayımlanmamış PAN-OS sürümleri için şirket, yönetim portu trafiğini bir DP portu üzerinden yönlendirme, gelen trafik yönetimi için sertifika değişikliği, yönetim arayüzüne gelen trafiğin şifresini çözerek denetleme ve yönetim hizmetlerine gelen trafikte tehdit önlemeyi etkinleştirme gibi geçici önlemler önerdi.

Palo Alto Networks'ün Resmi Açıklaması​

Palo Alto Networks, Dream'in raporuna ilişkin yaptığı açıklamada "İnternete yönelik PAN-OS yönetim arayüzlerini hedef alan yetkisiz istismar faaliyetini anlatan Dream raporundan haberdarız" dedi. Şirket sözcüsü, mevcut yamaları uygulamış müşterilerin etkilenmediğini ve yönetim arayüzünü kamuya açık internete maruz bırakmama yönündeki standart öneriye uyan müşterilerin de risk altında olmadığını vurguladı.
Şirket, Xpanse saldırı yüzeyi yönetimi ürününden elde edilen verilere dayanarak küresel kurulu tabanının yüzde birinin çok küçük bir kesrinden daha azının (yüzde 0,01'den az) internete yönelik yönetim arayüzü yapılandırmasına sahip olduğunu ve potansiyel olarak etkilenen bu müşterilerin tamamıyla ayrı ayrı iletişime geçildiğini belirtti. Frontier Virtual Patching (ATP Plus) kullanan PAN-OS 12.2.4 ve sonraki sürüm müşterilerinin ise 20 Ekim'de Tehdit ID 543004 aracılığıyla önceden koruma altına alındığı da açıklandı.
Palo Alto Networks, müşterilerine yönetim arayüzlerine kamuya açık internet erişimini derhal kaldırmalarını, erişimi yalnızca güvenilir dahili IP adresleriyle sınırlandırmalarını ve PHP2Shell için yayımlanan PAN-OS yamalarını uygulamalarını tavsiye etti.

Sıkça Sorulan Sorular​

PHP2Shell zafiyetleri nedir ve hangi CVE numaralarıyla takip ediliyor?​

PHP2Shell, CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen iki kritik güvenlik açığını kapsıyor. Her ikisi de 9,2 CVSS puanına sahip olan bu açıklar, etkilenen PHP sürümlerini çalıştıran sistemlerde kimlik doğrulaması gerektirmeksizin uzaktan kod yürütülmesine imkân tanıyor.

Palo Alto Networks PAN-OS'ta hangi sürümler bu açıklardan etkileniyor?​

PAN-OS 10.2, 11.1, 11.2, 12.1 ve 12.2 serilerinin belirli alt sürümleri etkileniyor. Şirket, her sürüm için düzeltme içeren minimum sürüm numaralarını ayrıntılı biçimde yayımladı; henüz yamalanamayan sürümler için geçici önlemler de önerildi.

CISA bu zafiyetler hakkında ne tür bir zorunluluk getirdi?​

CISA, CVE-2026-46300'ü Bilinen İstismar Edilen Zafiyetler kataloğuna ekleyerek federal kurumların ilgili yamaları 31 Ekim 2026'ya kadar uygulamasını zorunlu kıldı. Ajans, bu açığın PHP2Shell zafiyetleriyle zincirlendiğinde web shell yerleştirme ve root düzeyinde komut çalıştırma imkânı sağladığını vurguladı.

Dream'in raporunda hangi saldırı faaliyetleri tespit edildi?​

Dream, Çin bağlantılı olduğundan şüphelenilen bir tehdit aktörünün PHP2Shell açıklarını Linux çekirdeği zafiyetiyle (Fragnesia) birleştirerek ABD, Japonya, Tayvan ve Güney Kore'de 25 sunucuyu ele geçirdiğini bildirdi. Saldırılar kapsamında Active Directory'ye yönelik saldırılar başlatıldığı, kimlik bilgilerinin çalındığı ve dizin numaralandırma işlemleri gerçekleştirildiği de raporlandı.

Palo Alto Networks, etkilenen müşterilere hangi acil önlemleri tavsiye ediyor?​

Şirket, müşterilere yönetim arayüzlerine kamuya açık internet erişimini derhal kaldırmalarını, erişimi yalnızca güvenilir dahili IP adresleriyle sınırlandırmalarını ve PHP2Shell için yayımlanan PAN-OS yamalarını uygulamalarını tavsiye etti. Yama uygulanamayan sürümler için MGT portu trafiğini DP portu üzerinden yönlendirme ve tehdit önlemeyi etkinleştirme gibi geçici hafifletme adımları da önerildi.