PHP2Shell Zinciriyle 25 Sunucu Ele Geçirildi, ABD Hükümeti Ağı Hedef Alındı

Siber güvenlik araştırmacıları, Çin devletiyle bağlantılı olduğundan şüphelenilen bir tehdit aktörünün PHP2Shell güvenlik açıklarından yararlanarak gerçekleştirdiği kapsamlı bir saldırı operasyonunun ayrıntılarını kamuoyuyla paylaştı. 25 Ekim 2026'da gözlemlenen bu faaliyet, saldırganın PHP2Shell ile bir Linux çekirdeği ayrıcalık yükseltme açığını bir araya getirerek ABD, Japonya, Tayvan ve Güney Kore'de toplam 25 sunucuyu kök erişimiyle ele geçirmesini kapsıyor. Saldırıdan etkilenen sistemler arasında ABD hükümetiyle bağlantılı bir ortama ait üç sunucu da yer alıyor.

Saldırı Zinciri: PHP2Shell ve Fragnesia​

İsrailli siber güvenlik firması Dream'in açıklamasına göre, etkilenen cihazlar büyük bir güvenlik duvarı yazılımı satıcısına ait belirli sürümleri çalıştırıyordu. Saldırı zinciri temelde iki farklı güvenlik açığı setini bir araya getiriyor: CVE-2026-109618 ve CVE-2026-109619 olarak izlenen, kimlik doğrulaması gerektirmeyen uzaktan kod yürütmeye olanak tanıyan PHP2Shell açıkları (CVSS puanı: 9,2) ile CVE-2026-46300 koduyla takip edilen ve Linux çekirdeğinde yerel ayrıcalık yükseltmeye imkân veren Fragnesia açığı (CVSS puanı: 7,8).
Dream araştırmacıları, ele geçirdikleri istismar kodunun bilinen herhangi bir kamuya açık PHP2Shell açığının kopyası olmadığını vurguladı. Açıklamaya göre kod, aynı temel kavramı izliyor ancak bağımsız olarak geliştirilmiş ve hedef alınan güvenlik duvarı platformuna özel olarak uyarlanmış görünüyor. Saldırı, güvenlik duvarının appweb yönetim sunucusundaki PHP'nin session.upload_progress mekanizmasını hedef alıyor; güvenlik duvarı işletim sistemi, saldırının bellek bozulması aşamalarını mümkün kılan yüksek bellek sınırıyla PHP 8.0.30 kullanıyor.

Operasyonun Adım Adım Seyri​

Dream'in bulgularına göre operasyon, saldırganın FOFA aracını kullanarak dünya genelinde yönetim arayüzleri açıkta kalan yaklaşık 19.000 internet bağlantılı güvenlik duvarını tespit etmesiyle başladı. Ardından özel bir sürüm tarayıcısı çalıştırılarak bu cihazların hangilerinin çevrimiçi olduğu ve hangi işletim sistemi sürümünü çalıştırdığı belirlendi; yaklaşık 5.000 cihaz sürüm bilgisiyle yanıt verdi. Saldırgan, hedefleri ABD, Japonya, Tayvan ve Güney Kore'deki sistemlerle sınırlandırdı ve PHP 8.0.30 çalıştıran daha yeni sürüm dallarıyla eşleşen sistemleri filtreledi; bu adım 240 hedeflik bir liste ortaya çıkardı.
Hedef listesi, PHP2Shell-Fragnesia zincirini otomatik olarak işleten bir toplu çalıştırıcıya beslendi. Bu araç, güvenlik duvarının herkese açık dizinine bir PHP web kabuğu yerleştirdi, kök erişimini doğruladı ve hedefin ana bilgisayar adıyla IP adresini bir CSV dosyasına kaydetti. Bu aşamada 24 sunucuya kök erişimi sağlandı.
Başarıyla ele geçirilen sistemlerden ikisinin ABD hükümetiyle bağlantılı bir kuruluşa ait olduğu tespit edildi. Bu sistemlerden biri 23 Ekim 2026'da saat 18:14 UTC'de ele geçirildikten kısa süre sonra çöktü ve bir daha çevrimiçi olmadı. Saldırgan, 24 Ekim 2026 saat 10:09 UTC'de ikinci sistemi başarıyla ele geçirdi ve bu sistemi, ele geçirilen güvenlik duvarını operatörün altyapısına bağlayan bir ters SSH tüneli aracılığıyla iç ağa kalıcı bir kanal oluşturmak için kullandı. Aynı gün saat 11:35 UTC'de üçüncü bir hükümet sunucusu da aynı yöntemle ele geçirildi; bu sunucunun farkı, yalnızca tünel üzerinden erişilebilen dahili bir güvenlik duvarı yönetim sunucusu olmasıydı. Böylece ele geçirilen sunucu sayısı 25'e ulaştı.

Active Directory Saldırısı ve Kimlik Bilgisi Çalma Girişimi​

Sunuculara kök erişimi sağlandıktan sonra saldırgan, LDAP hizmet hesabı parolasını çözmek, kullanıcıları listelemek ve kuruluş temalı parolalar kullanarak her kullanıcı hesabına parola püskürtme saldırısı düzenlemek amacıyla Active Directory'yi hedef aldı. Operasyon aynı zamanda arka kapı Active Directory hesapları oluşturmayı da denedi. Dream'in açıklamasına göre tehdit aktörünün geçerli kimlik bilgisi elde edip etmediği ya da arka kapı hesapları yaratıp yaratmadığı henüz netlik kazanmadı; bu nedenle ihlalin tam kapsamı belirsizliğini koruyor.
Firmanın bulgularına göre ele geçirilen 22 güvenlik duvarında aktif web kabukları hâlâ çalışıyor. ABD hükümeti kuruluşuna açılan kalıcı tünelin de muhtemelen faaliyette olmaya devam ettiği belirtildi. Üstelik saldırganın, ek işletim sistemi sürümleri için profil geliştirdikçe yeniden ziyaret edebileceği 19.000 parmak izi alınmış hedefi bulunuyor.

Yapay Zeka Destekli Saldırı Altyapısı​

Dream, operasyonun yapay zeka destekli araçlarla bağlantısını, saldırı altyapısında Anthropic'in Claude Code uygulamasının kurulu olduğuna dair kanıtlara ve DeepSeek ile Kimi'nin büyük dil modelleriyle yapılandırılmış yapay zeka destekli bir saldırı güvenliği platformu olan aiscan için API anahtarlarının varlığına dayandırıyor. Bunun yanı sıra FOFA için de API anahtarları tespit edildi. Yaklaşık 40 komut dosyasındaki kod yapısı, yorum stili ve tutarlılık, geliştirme sürecini desteklemek için yapay zekadan yararlanıldığına işaret ediyor.
Dream, ABD, Japonya, Tayvan ve Güney Kore'nin Pasifik coğrafyasında Çin devletiyle uyumlu siber operasyonların dört temel stratejik rakibi ve istihbarat hedefi olduğuna dikkat çekerek bu durumun potansiyel bir ulus devlet faaliyetine işaret ettiğini vurguladı. Öte yandan XSS forumunda c0d3x takma adını kullanan bir kullanıcı, Flare tarafından aktarılan bir gönderide PHP2Shell açıklarının gerçek hedeflere karşı uygulamada istismar edilmesinin güç olduğunu; bunun için hedefin dosya sistemine özgü ve kaba kuvvetle elde edilmesi imkânsız olan libphp.so offsetlerinin gerektiğini belirtti. Bu bağlam, söz konusu operasyonda kullanılan özel yapının ne denli ileri düzey bir geliştirme çabasını yansıttığını gözler önüne seriyor.

Sıkça Sorulan Sorular​

PHP2Shell güvenlik açıkları nedir ve hangi CVE kodlarıyla izleniyor?​

PHP2Shell, CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen ve her ikisi de 9,2 CVSS puanına sahip iki güvenlik açığından oluşan bir çifttir. Bu açıklar, kimlik doğrulaması gerektirmeksizin uzaktan kod yürütülmesine olanak tanıyabilir.

Saldırıda kaç sunucu ele geçirildi ve hangi ülkeler etkilendi?​

Toplam 25 sunucu kök erişimiyle ele geçirildi. Etkilenen sistemler ABD, Japonya, Tayvan ve Güney Kore'de bulunuyor; bu sistemler arasında ABD hükümetiyle bağlantılı bir ortama ait üç sunucu da yer alıyor.

Saldırganın yapay zeka kullandığına dair kanıtlar nelerdir?​

Dream, saldırı altyapısında Anthropic'in Claude Code uygulamasının kurulu olduğunu, DeepSeek ve Kimi'nin büyük dil modelleriyle yapılandırılmış aiscan platformu ile FOFA için API anahtarlarının bulunduğunu tespit etti. Yaklaşık 40 komut dosyasındaki kod yapısı ve yorum stilindeki tutarlılık da yapay zeka kullanımına işaret ediyor.

Saldırganların Active Directory üzerindeki faaliyetleri ne ölçüde başarılı oldu?​

Dream'in açıklamasına göre saldırganların LDAP hizmet hesabı parolasını çözüp çözemediği, geçerli kimlik bilgisi elde edip etmediği ya da arka kapı hesapları oluşturup oluşturmadığı henüz netlik kazanmadı. Bu nedenle ihlalin tam kapsamı belirsizliğini koruyor.

Hangi güvenlik firması bu operasyonu ortaya çıkardı ve etkilenen satıcıyı bilgilendirdi mi?​

İsrailli siber güvenlik firması Dream operasyonun ayrıntılarını açıkladı. Firma, etkilenen satıcının adını kamuoyuyla paylaşmamakla birlikte ilgili kuruluşu bilgilendirdiğini belirtti.