PHP2Shell Açığını Kullanan Saldırganlar Avrupa'daki Bir Devlet Kurumunun MFA Sırlarına ve Parola Özetlerine Erişti

Palo Alto Networks Unit 42 araştırmacıları, CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen PHP2Shell güvenlik açıklarının aktif biçimde sömürüldüğünü ve saldırganların bu süreçte ajansal yapay zeka (AI) platformlarından yararlandığına işaret eden kanıtlar bulunduğunu açıkladı. Araştırmacılara göre Avrupalı bir devlet kurumunu hedef alan saldırıda, ilk istismarın ardından yalnızca iki saat içinde parola özetlerine ve çok faktörlü kimlik doğrulama (MFA) sırlarına erişildi.

İki Saatte Kritik Verilere Erişim​

Unit 42'nin bulgularına göre saldırganlar, hedef sisteme sızdıktan sonra NT LAN Manager (NTLM) aktarma tüneli kurarak Active Directory ortamına erişmeye çalıştı ve Domain Admin yetki yükseltme girişiminde bulundu. Ele geçirilen uç nokta üzerinde de kapsamlı bir keşif faaliyeti yürütüldü. Araştırmacılar, söz konusu komutların ve davranışsal göstergelerin ajansal bir saldırganın izlerini taşıdığını belirtti.
Keşif faaliyetleri arasında şunlar yer alıyor: çalınan kimlik bilgileriyle kimlik doğrulama veri tabanının taranması, parola özetleri ve iki faktörlü kimlik doğrulama sırlarının hedef alınması; curl tabanlı anonim LDAP sorguları aracılığıyla yönetici hesabını aramak amacıyla etki alanı denetleyicisine yapılan Active Directory keşfi; DNS/AD entegrasyonu, iç sunucular, ayrıcalıklı gruplar ve etkileşimli kullanıcıları tespit etmek için yapılan ana bilgisayar araştırması.
Unit 42, komut bloklarının ==SHELLUSER== ve ==PASSWD== gibi bölüm başlığı sınırlayıcılarıyla çerçevelendiğini vurguladı. Araştırmacılara göre bu sınırlayıcılar, bir yapay zeka modelinin okuyabileceği makine tarafından ayrıştırılabilir çıktı üretmek amacıyla tasarlanmış.

Kuzey Kore Bağlantılı Kampanya: 21 Düğümden Küresel Tarama​

Siber tehdit istihbarat firması CYFIRMA ise ayrı bir araştırmasında, Kuzey Kore bağlantılı olduğundan şüphelenilen bir kampanyanın PHP2Shell güvenlik açığını kullanarak 21 ele geçirilmiş düğüm üzerinden küresel PHP altyapısını aktif biçimde taradığını ortaya koydu. CYFIRMA CEO'su ve kurucusu Kumar Ritesh, taramanın kasıtlı olarak düşük hacimde ve yavaş tempoda yürütüldüğünü, düğümlerin engelleme veya hız sınırlama ilk belirtisinde döndürülüp terk edildiğini belirterek eşik tabanlı uyarı sistemlerinin bu faaliyeti yakalayamayacağını söyledi.
Hedefler arasında ABD, Japonya, Güney Kore, Tayland, Endonezya, Avustralya, Tayvan, Hindistan, Singapur, BAE, Suudi Arabistan ve AB'de bulunan, yaması yapılmamış ya da kısmen hafifletilmiş 216 sunucu yer alıyor. Bu sunucular; devlet kurumları, finans kuruluşları, lojistik, havalimanları ve havacılık, üretim ile çevrimiçi işlem platformlarını kapsıyor.
CYFIRMA, faaliyetin kapalı bir I2P kanalı üzerinden koordine edildiğini ve orta düzeyde güvenle Lazarus Grubu ekosistemine bağlı Korece konuşan bir operatöre atfedildiğini açıkladı. I2P kanalında aktif olan iki kullanıcı adının — 전창혁 2 (Jeon Chang-hyuk 2) ve 최아린 (Choi A-rin) — daha önce tehdit aktörleri adına gizli operasyonlar yürütürken gözlemlendiği belirtildi. Ritesh, ele geçirilen konuşmaların Güney Kore standardı yerine Kuzey Kore'ye özgü kelime dağarcığı ve yazım kurallarını (Munhwaŏ) içerdiğini vurguladı.
Kampanyayı Lazarus kümesiyle ilişkilendiren diğer göstergeler şunlar: Lazarus'un daha önce web varlıklarını istismar etmek için kullandığı komuta ve kontrol (C2) altyapısı; SyncHole sulama yeri kampanyasında gözlemlendiği üzere Lazarus Grubunun PHP ve WordPress sunucularını C2 amaçlı ele geçirme ve PHP/ASP web kabuğu yerleştirme konusundaki belgelenmiş geçmişi; finansal kurumları ihlal etme siciliyle örtüşen biçimde devlet kurumları, bankalar ve çevrimiçi işlem platformlarının öncelikli hedef olarak belirlenmesi.

Honeypot Verileri ve Ek Saldırı Girişimleri​

Defused Cyber, 25 Ekim 2026 tarihinde X platformunda paylaştığı bir gönderide Palo Alto Networks GlobalProtect bal küplerini hedef alan PHP2Shell taramalarını da gözlemlediklerini duyurdu. Faaliyetin, bilinen toplu istismar IP adresi olan 204.76.203[.]7'den kaynaklandığı tespit edildi. Şirkete göre istekler, PHP_SESSION_UPLOAD_PROGRESS işaretçisi (p2s-rider) ve yük içermeyen sahte bir dosya yüklemesi taşıyor; bu durum, savunmasız yükleme-ilerleme davranışını kontrol eden ve muhtemelen Palo Alto cihazlarından oluşan bir hedef listesi oluşturan bir aktöre işaret ediyor.

Açıkların Teknik Boyutu ve Milyonlarca Saldırı Girişimi​

CVE-2026-109618 ve CVE-2026-109619, varsayılan PHP yapılandırmalarında uzaktan kod yürütülmesine yol açabilen kritik güvenlik açıkları olarak sınıflandırılıyor. Cloudflare, kamuya açıklanmalarının ardından milyonlarca istismar girişimi tespit ettiğini açıkladı.
Datadog'un teknik analizine göre saldırganın iki temel kısıtlamayı aşması gerekiyor: isteği bellek ayırmanın tam doğru anında başarısız olacak şekilde boyutlandırmak ve geçerli bellek adreslerini bulmak için ASLR'yi atlatmak. PHP bir form alanı adını ayrıştırırken birden fazla kopya oluşturuyor; saldırgan bu ekstra belleği, PHP adı karma tablosuna kopyalarken bir ayırma hatasını zorlamak için kullanıyor.
ReliaQuest, 22 Ekim 2026'da yayımladığı güncellemede CVE-2026-109618'i kontrollü bir laboratuvar ortamında yeniden oluşturduğunu ve savunmacıların istismarı tespit etmesine yardımcı olabilecek bir hata dizisi gözlemlediğini belirtti. Şirkete göre savunmacılar şu diziyi takip etmeli: POST isteğinin 500 hatası döndürmesi, PHP'nin bellek tükenmesi ve yığın bozulması bildirmesi ve isteği işleyen Apache çalışanının çökmesi.

PHP Foundation'ın Yeni Uyarısı ve Alınması Gereken Önlemler​

PHP Foundation, üçüncü bir uzaktan kod yürütme açığı olan CVE-2026-115560 konusunda da uyarıda bulundu. Foundation'a göre bu açık yalnızca olağandışı bir yapılandırma ve uygulama kodu kombinasyonunda ortaya çıkabiliyor ve normal sürüm döngüsünde giderilmesi planlanıyor. Açığın tetiklenebilmesi için uygulamanın session.serialize_handler ayarını php_binary veya php_serialize olarak belirlemesi, ardından çalışma zamanında ini_set() ile php'ye geçirmesi ve session_start()'ı çağırması gerekiyor. Oturum yükleme ilerlemesinin de etkin olması şart.
Xint, bir ana bilgisayarın PHP2Shell'e maruz kalıp kalmadığını kontrol etmek için bir tarayıcı yayımladı. Bitsight'ın internet genelindeki taramalarına göre yaklaşık 37 milyon internet bağlantılı sistem PHP veya PHP tabanlı yazılım çalıştırıyor; maruziyetin en yoğun olduğu ülkeler ABD, Almanya, Fransa, Hollanda ve Japonya. Bitsight, PHP'nin web'in büyük bir bölümünü çalıştırdığını ve çalışma zamanındaki bir açığın uygulama kodu değiştirilerek ya da web uygulama güvenlik duvarı veya eklenti güncellemesiyle kapatılamayacağını, yalnızca sunucudaki PHP'nin güncellenmesiyle giderilebileceğini vurguladı.

Sıkça Sorulan Sorular​

PHP2Shell güvenlik açıkları nedir ve hangi sistemleri etkiliyor?​

CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen PHP2Shell açıkları, varsayılan PHP yapılandırmalarında uzaktan kod yürütülmesine olanak tanıyan kritik güvenlik zafiyetleridir. Bitsight verilerine göre yaklaşık 37 milyon internet bağlantılı sistem PHP veya PHP tabanlı yazılım çalıştırmakta olup maruziyetin en yüksek olduğu ülkeler ABD, Almanya, Fransa, Hollanda ve Japonya'dır.

Avrupalı devlet kurumuna yönelik saldırıda neler yaşandı?​

Palo Alto Networks Unit 42'ye göre saldırganlar, ilk istismarın ardından iki saat içinde parola özetlerine ve çok faktörlü kimlik doğrulama sırlarına erişti. Ayrıca NTLM aktarma tüneli kurarak Active Directory ortamına girdi ve Domain Admin yetki yükseltme girişiminde bulundu.

Saldırılarda yapay zekanın kullanıldığına dair kanıtlar nelerdir?​

Unit 42 araştırmacıları, saldırganların kullandığı komut bloklarının ==SHELLUSER== ve ==PASSWD== gibi bölüm başlığı sınırlayıcılarıyla çerçevelendiğini tespit etti. Bu sınırlayıcıların bir yapay zeka modelinin okuyabileceği makine tarafından ayrıştırılabilir çıktı üretmek amacıyla tasarlandığı değerlendiriliyor.

Kuzey Kore bağlantılı kampanyanın hangi sektörleri hedef aldığı belirlendi?​

CYFIRMA'nın bulgularına göre kampanya; devlet kurumları, finans kuruluşları, lojistik, havalimanları ve havacılık, üretim ile çevrimiçi işlem platformlarını kapsayan 216 sunucuyu hedef alıyor. Hedef ülkeler arasında ABD, Japonya, Güney Kore, Tayland, Endonezya, Avustralya, Tayvan, Hindistan, Singapur, BAE, Suudi Arabistan ve AB yer alıyor.

PHP2Shell açıklarına karşı nasıl önlem alınabilir?​

Bitsight ve PHP Foundation'ın açıklamalarına göre bu açıklar uygulama kodu değiştirilerek ya da web uygulama güvenlik duvarı veya eklenti güncellemesiyle kapatılamaz; yalnızca sunucudaki PHP'nin güncellenmesiyle giderilebilir. Xint ayrıca bir ana bilgisayarın PHP2Shell'e maruz kalıp kalmadığını kontrol etmek için kamuya açık bir tarayıcı yayımlamıştır.