PHP2Shell Açıkları Avrupa'daki Devlet Kurumunu Vurdu: Saldırıda Yapay Zeka İzleri

Palo Alto Networks'ün tehdit istihbarat birimi Unit 42, CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen PHP2Shell güvenlik açıklarının aktif biçimde istismar edildiğini duyurdu. Araştırmacılar, saldırıların yalnızca teknik bir güvenlik ihlalinin ötesine geçtiğini; post-exploitation aşamasında ajansal yapay zeka platformlarının kullanıldığına işaret eden davranışsal göstergeler barındırdığını belirtti.

Avrupa'daki Devlet Kurumuna İki Saatlik Saldırı​

Unit 42'nin açıklamasına göre saldırganlar, Avrupa'daki bir devlet kurumunu hedef aldı. İlk istismarın ardından yalnızca iki saat içinde şifre karmaları ile çok faktörlü kimlik doğrulama (MFA) sırlarına erişim sağlandı. Saldırganlar aynı zamanda Active Directory'ye yönelik bir NT LAN Manager (NTLM) aktarma tüneli kurdu ve Domain Admin ayrıcalığı yükseltmeye girişti.
Unit 42, ele geçirilen uç noktada saldırganların kapsamlı bir keşif faaliyeti yürüttüğünü de gözlemledi. Bu faaliyetler arasında çalınan kimlik bilgileriyle kimlik doğrulama veritabanının taranması, curl tabanlı anonim LDAP sorguları aracılığıyla Active Directory keşfi ve DNS/AD entegrasyonu, iç sunucular, ayrıcalıklı gruplar ile etkileşimli kullanıcıların tespitine yönelik host taraması yer aldı.
Araştırmacıların dikkatini çeken önemli bir teknik ayrıntı, komut gruplarının ==SHELLUSER== ve ==PASSWD== gibi bölüm başlığı sınırlayıcılarıyla sarmalanmış olmasıydı. Unit 42, bu sınırlayıcıların bir yapay zeka modelinin okuyabileceği makine ayrıştırılabilir çıktı ürettiğini ve bunun ajansal bir saldırganın işine işaret ettiğini vurguladı.

Kuzey Kore Bağlantılı Kampanya: Küresel Tarama ve Lazarus İzleri​

Siber istihbarat firması CYFIRMA ise ayrı bir araştırmayla Kuzey Kore bağlantılı olduğundan şüphelenilen bir kampanyayı gün yüzüne çıkardı. Buna göre 21 ele geçirilmiş düğüm üzerinden küresel PHP altyapısı aktif biçimde taranıyor. CYFIRMA CEO'su ve kurucusu Kumar Ritesh, taramanın kasıtlı olarak düşük hacimli ve tempolu gerçekleştirildiğini, düğümlerin engelleme veya hız sınırlama belirtisinde rotasyona sokulup terk edildiğini belirterek eşik tabanlı uyarıların bu faaliyeti yakalamakta yetersiz kalacağını ifade etti.
Hedef listesinde ABD, Japonya, Güney Kore, Tayland, Endonezya, Avustralya, Tayvan, Hindistan, Singapur, BAE, Suudi Arabistan ve AB'de konumlanan 216 yamasız ya da kısmen hafifletilmiş sunucu yer alıyor. Bu sunucular hükümet kurumları, finans kuruluşları, lojistik, havalimanları ve havacılık, üretim ile çevrimiçi işlem platformlarını kapsıyor.
CYFIRMA, faaliyetin kapalı bir I2P kanalı üzerinden koordine edildiğini ve Lazarus Group ekosistemine bağlı olduğu değerlendirilen Korece konuşan bir operatöre orta düzeyde güvenle atfedildiğini açıkladı. I2P kanalında aktif olan iki kullanıcı adının — 전창혁 2 (Jeon Chang-hyuk 2) ve 최아린 (Choi A-rin) — daha önce tehdit aktörleri adına gizli operasyonlar yürütürken gözlemlendiği belirtildi. Ritesh, ele geçirilen konuşmanın Güney Kore standardı yerine Kuzey Kore'ye özgü Munhwaŏ söz dağarcığı ve yazımını kullandığını da ekledi.
Kampanyayı Lazarus kümesiyle ilişkilendiren diğer göstergeler arasında Lazarus'un web varlıklarını istismar etmek için daha önce kullandığı komuta-kontrol altyapısı, PHP ve WordPress sunucularını ele geçirme ile web kabuğu yerleştirme konusundaki belgelenmiş geçmişi (SyncHole sulama çukuru kampanyasında da gözlemlenen) ve finansal kurumları ile çevrimiçi işlem platformlarını önceliklendirme eğilimi sayılabilir.

Honeypot Tuzaklarına Düşen Tarama Girişimleri​

Defused Cyber, 25 Ekim 2026 tarihli bir X paylaşımında PHP2Shell problarının kendi Palo Alto Networks GlobalProtect bal küplerini hedef aldığını duyurdu. Söz konusu aktivitenin, bilinen bir toplu istismar IP adresi olan 204.76.203[.]7 kaynağından geldiği tespit edildi. Firma, isteklerin p2s-rider etiketli bir PHP_SESSION_UPLOAD_PROGRESS işaretçisi ve yük içermeyen sahte bir dosya yüklemesi taşıdığını; bunun birinin savunmasız yükleme ilerlemesi davranışını kontrol ettiğine ve muhtemelen Palo Alto cihazlarından oluşan bir hedef listesi oluşturduğuna işaret ettiğini belirtti.

Açıkların Teknik Boyutu ve Savunma Önerileri​

CVE-2026-109618 ve CVE-2026-109619, varsayılan PHP yapılandırmalarında uzaktan kod yürütülmesine yol açabilen kritik güvenlik açıkları olarak sınıflandırılıyor. Cloudflare, kamuoyuna duyurulmasının ardından milyonlarca istismar girişimi tespit ettiğini açıkladı.
Datadog, saldırganın iki temel kısıtlamayla karşılaştığını aktardı: doğru anda tahsis başarısızlığını tetikleyecek büyüklükte bir istek oluşturmak ve geçerli bellek adreslerini bulmak için ASLR'yi aşmak. PHP'nin form alanı adını ayrıştırırken birden fazla kopya oluşturmasından yararlanan saldırgan, bu ekstra belleği kullanarak adı bir karma tablosuna kopyalarken tahsis başarısızlığını zorluyor.
ReliaQuest, 22 Ekim 2026'da yayımladığı güncellemede CVE-2026-109618'i kontrollü bir laboratuvar ortamında yeniden oluşturduğunu ve savunucuların istismarı tespit etmesine yardımcı olabilecek bir hata dizisi gözlemlediğini duyurdu. Firmaya göre savunucuların odaklanması gereken dizi şöyle: POST isteği 500 hatası döndürür, PHP bellek tükenmesi ve yığın bozulması raporlar, isteği işleyen Apache çalışanı çöker.
PHP Foundation, üçüncü bir uzaktan kod yürütme açığı olan CVE-2026-115560'ı da duyurdu; ancak bu açığın yalnızca olağandışı bir yapılandırma ve uygulama kodu kombinasyonunda ortaya çıkabileceğini vurguladı. Sorunun olağan sürüm döngüsünde giderileceği belirtildi. Foundation, etkilenme koşullarını şöyle özetledi: Uygulamanın session.serialize_handler değerini yapılandırmada php_binary veya php_serialize olarak ayarlaması, ardından session_start() çağrısından önce bunu ini_set() ile çalışma zamanında php'ye değiştirmesi ve oturum yükleme ilerlemesinin etkin olması gerekiyor.
Xint, bir sunucunun PHP2Shell'e maruz kalıp kalmadığını kontrol etmek için bir tarayıcı yayımladı. Bitsight'ın internet genelindeki taramaları ise yaklaşık 37 milyon internete açık sistemin PHP veya PHP ile ilgili yazılım çalıştırdığını ortaya koydu; maruziyetin en yoğun olduğu ülkeler ABD, Almanya, Fransa, Hollanda ve Japonya olarak sıralandı. Bitsight, güvenlik açığının yalnızca PHP güncellemesiyle kapatılabileceğini; uygulama kodu değişikliklerinin ya da web uygulama güvenlik duvarlarının yeterli olmayacağını vurguladı.

Sıkça Sorulan Sorular​

PHP2Shell güvenlik açıkları nelerdir ve hangi sistemleri etkiliyor?​

CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen PHP2Shell güvenlik açıkları, varsayılan PHP yapılandırmalarında uzaktan kod yürütülmesine olanak tanıyan kritik açıklardır. Bitsight verilerine göre internete açık yaklaşık 37 milyon sistem PHP veya PHP ile ilgili yazılım çalıştırmakta olup bu açıklar içerik yönetim sistemlerinden çevrimiçi mağazalara, kurumsal iç araçlara kadar geniş bir yelpazeyi etkilemektedir.

Avrupa'daki devlet kurumuna yönelik saldırıda neler yaşandı?​

Unit 42'ye göre saldırganlar, Avrupa'daki bir devlet kurumunu hedef alarak ilk istismarın ardından iki saat içinde şifre karmalarına ve çok faktörlü kimlik doğrulama sırlarına erişti. Bunun yanı sıra Active Directory'ye bir NTLM aktarma tüneli kuruldu ve Domain Admin ayrıcalığı yükseltme girişiminde bulunuldu.

Saldırıda yapay zeka kullanıldığına dair kanıtlar nelerdir?​

Unit 42, komut gruplarının ==SHELLUSER== ve ==PASSWD== gibi bölüm başlığı sınırlayıcılarıyla sarmalandığını tespit etti. Araştırmacılar, bu sınırlayıcıların bir yapay zeka modelinin okuyabileceği makine ayrıştırılabilir çıktı ürettiğini ve komutlarla davranışsal göstergelerin ajansal bir saldırganın varlığına işaret ettiğini açıkladı.

Kuzey Kore bağlantılı kampanyayı Lazarus Group'a bağlayan kanıtlar nelerdir?​

CYFIRMA, kampanyayı Lazarus Group ekosistemine bağlayan birden fazla gösterge tespit etti: Lazarus'un daha önce kullandığı komuta-kontrol altyapısı, PHP ve WordPress sunucularını ele geçirme ile web kabuğu yerleştirme konusundaki belgelenmiş geçmiş, finansal kurumları önceliklendirme eğilimi ve I2P kanalındaki konuşmalarda Güney Kore standardı yerine Kuzey Kore'ye özgü Munhwaŏ dil özelliklerinin kullanılması.

PHP2Shell açıklarına karşı nasıl korunulabilir?​

Bitsight ve PHP Foundation'a göre tek gerçek çözüm, sunucudaki PHP'nin güncellenmesidir; uygulama kodu değişiklikleri veya web uygulama güvenlik duvarları bu açığı kapatmaya yetmez. ReliaQuest ise savunucuların POST isteğinin 500 hatası döndürmesi, PHP'nin bellek tükenmesi ve yığın bozulması raporlaması ile Apache çalışanının çökmesi şeklinde sıralanan hata dizisine odaklanmasını öneriyor. Xint ayrıca bir sunucunun PHP2Shell'e maruz kalıp kalmadığını kontrol etmek için ücretsiz bir tarayıcı yayımladı.