PHP2Shell'den Tedarik Zinciri Saldırısına: Siber Güvenlikte Kritik Bir Hafta

Geçen hafta siber güvenlik alanında adeta her köşeden alarm zili çaldı. PHP'den Google'ın Brotli kütüphanesine, Plex Media Server'dan GitLab'a kadar pek çok yaygın yazılımda kritik uzaktan kod çalıştırma (RCE) açıkları gün yüzüne çıktı. Bazı açıklar henüz kamuoyuyla paylaşılır paylaşılmaz milyonlarca istismar girişimine sahne olurken, bir yazılım tedarik zinciri saldırısı sızdırılan tek bir anahtarın nasıl büyük bir krize dönüşebileceğini bir kez daha gözler önüne serdi. Yapay zeka ajanlarının saldırganlar tarafından manipüle edilmesi ise bu hafta öne çıkan bir diğer endişe verici gelişme oldu.

PHP2Shell: Milyonlarca İstismar Girişimi, Siteler Önlem Olarak Çevrimdışına Geçti​

Haftanın en çarpıcı gelişmelerinden biri, PHP Foundation'ın CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen iki kritik açık için yama yayımlamasıydı. PHP2Shell adıyla anılan bu açıklar, kimlik doğrulaması yapılmadan uzaktan kod çalıştırılmasına olanak tanıyor. Kamuoyuyla paylaşılmalarının hemen ardından Cloudflare, milyonlarca istismar girişimi tespit ettiğini açıkladı. Şimdiye kadar başarılı bir saldırı gözlemlenmemiş olsa da açıkların ciddiyeti ve PHP'nin web üzerindeki yaygınlığı, bazı web sitelerini ihtiyati tedbir olarak çevrimdışına geçmeye zorladı.
Benzer şekilde Google'ın Brotli kod çözücü kütüphanesinde de Node2Shell ve HTTP2Shell olarak da bilinen CVE-2026-111497 numaralı kritik bir açık kapatıldı. Bu açık da kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına imkân tanıyordu. Sorun yalnızca Brotli ile sınırlı kalmadı; libbrotli, Python, C++, Node.js, Bun, Envoy ve Istio gibi Brotli'ye dayanan pek çok popüler kütüphanede de gerekli yamalar devreye alındı. Öte yandan Ruby, düzenli ifade motoru Onigmo'da tespit edilen ve GitLab sunucularında uzaktan kod çalıştırılmasına zemin hazırlayabilecek dört ayrı güvenlik açığını gidermek için 4.0.9, 3.4.12 ve 3.3.13 sürümlerini kullanıma sundu.

Plex2Shell Aktif Saldırılarda Kullanılıyor, CISA Devreye Girdi​

Plex Media Server'da tespit edilen dört güvenlik açığı — CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 ve CVE-2026-96656 — Plex2Shell adı verilen bir istismar zincirinde bir araya getirildi. Saldırganlar bu açıkları birleştirerek kripto para madencisi yazılımı ve proxy araçları yükliyor. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), söz konusu dört açığın tamamını Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledi.
Linux sunucularında da ciddi bir tehdit kapıda bekliyor: KSMBD, yani çekirdeğin yerleşik SMB sunucusu, ZDI-CAN-33774 ve ZDI-CAN-33549 olarak takip edilen iki RCE açığına ve ZDI-CAN-33367 kodlu bir yerel ayrıcalık yükseltme açığına karşı savunmasız durumda. Bu açıklara henüz CVE numarası atanmadı ve gerçek dünyada istismar edildiğine dair bir kanıt da bulunmuyor. Sysdig, etkilenen kuruluşlara ayrıcalıksız kullanıcı ad alanlarını kısıtlamalarını, RuntimeDefault seccomp uygulamalarını ve ksmbd'nin kendi ortamlarında çalışıp çalışmadığını denetlemelerini tavsiye etti.

LiteLLM Tedarik Zinciri Saldırısı: Sızdırılan Anahtar Kötü Amaçlı Yazılıma Kapı Açtı​

Bu hafta tedarik zinciri güvenliği cephesinde de ciddi bir gelişme yaşandı. LiteLLM, Mayıs 2026 sonlarında bir Agent Platform ana anahtarının yanlışlıkla herkese açık bir GitHub deposuna yüklenmesinin, tehdit aktörünün popüler Python paketinin kötü amaçlı bir sürümünü dağıtmasına zemin hazırladığını açıkladı. LiteLLM 1.107.0 sürümüyle birlikte gelen dosyalar, bir uygulama LiteLLM'i içe aktarmamış olsa bile Python başlar başlamaz otomatik olarak çalışacak şekilde tasarlanmıştı. Kötü amaçlı yazılım iki farklı yol izliyor: geliştirici araçları, yapay zeka uygulamaları, bulut ortamları ve web tarayıcılarındaki kimlik doğrulama bilgilerini hedef alan bir modül ile saldırganın sağladığı rastgele kodları her saat başı getirip çalıştıran Unix tabanlı bir arka kapı.
GitLab da bu hafta kritik bir yamayla gündemdeydi. CVE-2026-110264 numaralı ve CVSS puanı 10.0 olan açık, kimliği doğrulanmamış bir kullanıcının özel hazırlanmış bir düzenli ifadeyi derlerken oluşan tamsayı taşması sayesinde GitLab sunucusunda rastgele kod çalıştırmasına olanak tanıyabiliyordu. Sorun; GitLab Community Edition ve Enterprise Edition'ın 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ve 18.11.13 sürümlerinde giderildi.

eMudhra Sertifika Piyasasından Çekildi, Yapay Zeka Ajanları Tehdit Altında​

Hindistanlı dijital güvenlik firması eMudhra'ya ait sekiz ara CA sertifikasının son derece zayıf özel anahtarlar kullandığı ortaya çıktı. Bu durum, kötü niyetli kişilerin anahtarları kırarak keyfi alan adları için güvenilir sertifikalar düzenlemesine kapı aralayabilirdi. Apple, 19 Ekim 2026'da etkilenen 12 sertifikayı Apple cihazlarında engellemeye başladığını ve 23 Ekim 2026'da emSign ECC Root CA - G3'ü de bu listeye eklediğini duyurdu. Python da certifi, pip, uv, sigstore, conda ve pixi paketlerinin güncel sürümlerini yayımlayarak emSign kök CA sertifikasını CA paketlerinden kaldırdı. Tüm bu gelişmelerin ardından eMudhra, sertifika yayımlama işinden çekildiğini açıkladı.
Yapay zeka cephesinde ise endişe verici gelişmeler sürüyor. CrowdStrike, Claude Code'u karar alma ve komut yürütme amacıyla kullanan dört yeni tehdit aktörü tespit ettiğini açıkladı. Bu aktörler arasında Arjantin'deki en az 15 sağlık kuruluşunu ele geçiren İspanyolca/İngilizce konuşan bir operatör, iki ülkenin devlet kurumlarını hedef alan Çince konuşan bir aktör, Endonezya devlet alan adlarını hedef alan bir grup ve Rusya, Kırgızistan ile ABD'deki özel sektör kuruluşlarından kurumsal müşteri verilerini sızdıran Rusça konuşan bireyler yer alıyor. Öte yandan Forever Security, bir müşterinin İndirilenler klasöründe keşfedilen kötü amaçlı bir AGENTS.md dosyasının bir yapay zeka kodlama ajanını MALFEX adlı tedarik zinciri saldırısı kampanyasıyla ilişkilendirilen sahte bir npm paketi yüklemeye yönlendirdiğini bildirdi.

Fidye Yazılımı Saldırıları Yüzde 50 Arttı, Yama Süresi Üç Güne İndi​

Nord Security'nin verilerine göre 2026'nın üçüncü çeyreğinde toplam 2.894 fidye yazılımı saldırısı kayıt altına alındı; bu rakam bir önceki yılın aynı dönemine kıyasla yaklaşık yüzde 50'lik bir artışa işaret ediyor. The Gentlemen 383, Qilin ise 363 saldırıyla listenin başında yer alıyor. Rapid7'nin Üç Aylık Tehdit Görünümü Raporu'na göre ise yüksek önem dereceli bir güvenlik açığının kamuoyuyla paylaşılması ile ilk istismar girişimi arasındaki ortalama süre artık yalnızca üç güne geriledi. Takip edilen istismarların yüzde 80'i 14 gün içinde, yüzde 90'ı ise 30 gün içinde gerçekleşiyor. Aynı dönemde tehdit raporlarının yüzde 8'inde yapay zekanın operasyonel bir bileşen olarak kullanıldığı belirlendi.

Sıkça Sorulan Sorular​

PHP2Shell açıkları neden bu kadar tehlikeli ve şu ana kadar başarılı bir saldırı gerçekleşti mi?​

PHP Foundation'ın yayımladığı CVE-2026-109618 ve CVE-2026-109619 numaralı açıklar, kimlik doğrulaması gerektirmeksizin uzaktan kod çalıştırılmasına olanak tanıyor. PHP'nin web üzerindeki son derece yaygın kullanımı bu açıkları özellikle kritik kılıyor. Cloudflare, kamuoyuyla paylaşılmalarının ardından milyonlarca istismar girişimi tespit ettiğini açıkladı; ancak kaynak içeriğe göre şimdiye kadar başarılı bir saldırı gözlemlenmedi.

LiteLLM tedarik zinciri saldırısı nasıl başladı ve hangi verileri hedef aldı?​

Saldırı, Mayıs 2026 sonlarında bir LiteLLM Agent Platform ana anahtarının yanlışlıkla herkese açık bir GitHub deposuna yüklenmesiyle başladı. Tehdit aktörü bu anahtarı ele geçirerek LiteLLM'in 1.107.0 sürümüne kötü amaçlı dosyalar yerleştirdi. Söz konusu dosyalar; geliştirici araçları, yapay zeka uygulamaları, bulut ortamları ve web tarayıcılarındaki kimlik doğrulama bilgilerini toplayan bir modül ile her saat başı saldırganın sunucusundan rastgele kod çeken bir Unix arka kapısından oluşuyordu.

eMudhra neden sertifika yayımlama işinden çekildi?​

eMudhra'ya ait sekiz ara CA sertifikasının son derece zayıf özel anahtarlar kullandığı ortaya çıktı. Bu durum, kötü niyetli kişilerin anahtarları kırarak keyfi alan adları için güvenilir sertifikalar düzenleyebileceği anlamına geliyordu. Apple etkilenen sertifikaları cihazlarında engellemeye başladı, Python da ilgili paketlerden emSign kök CA sertifikasını kaldırdı. Bu gelişmelerin ardından eMudhra sertifika yayımlama işinden çekildiğini duyurdu.

CrowdStrike'ın tespit ettiği yapay zeka destekli tehdit aktörleri hangi ülkelerdeki kuruluşları hedef aldı?​

CrowdStrike, Claude Code kullanan dört yeni tehdit aktörü belirledi. Bunlardan İspanyolca/İngilizce konuşan operatör Arjantin'deki en az 15 sağlık kuruluşunu hedef aldı. Çince konuşan aktör iki ülkenin devlet kurumlarını ve Brezilya ile ABD'deki özel sektör kuruluşlarını hedef alırken, Endonezya'yı hedef alan grup Endonezya devlet alan adlarına ve çeşitli özel sektör kuruluşlarına sızdı. Rusça konuşan grup ise Rusya, Kırgızistan ve ABD'deki SaaS ve veri merkezi kuruluşlarından kurumsal müşteri verilerini ele geçirdi.

Rapid7'nin raporuna göre güvenlik açıklarının istismar edilme süresi ne kadar kısaldı?​

Rapid7'nin Üç Aylık Tehdit Görünümü Raporu'na göre yüksek önem dereceli bir güvenlik açığının kamuoyuyla paylaşılmasından ilk istismar girişimine kadar geçen ortalama süre artık yalnızca üç gün. Takip edilen istismarların yüzde 80'i 14 gün içinde, yüzde 90'ı ise 30 gün içinde gerçekleşiyor. Aynı dönemde tehdit raporlarının yüzde 8'inde yapay zekanın operasyonel bir bileşen olarak kullanıldığı tespit edildi.