Amazon Güvenlik İstihbaratı (Amazon Threat Intelligence) bölümündeki siber güvenlik araştırmacıları, saldırganların kritik PHP2Shell açıklarını resmi güvenlik yamalarının yayınlanmasından tam dört gün önce hedef almaya başladığını doğruladı.
CVE-2026-109618 ve CVE-2026-109619 tanımlayıcılarına sahip olan bu iki kritik açık, saldırganların etkilenen sistemlerde uzaktan kod yürütmesine (RCE) olanak tanıyor. PHP geliştirme ekibi, sistem yöneticilerini güncellemeler hazır olur olmaz yüklemeye hazırlıklı olmaları konusunda uyardıktan bir gün sonra, 21 Ekim'de gerekli yamaları yayınlamak için harekete geçti.
Açık detaylarının sızması ve zaman çizelgesinin hızlanması
PHP ekibi, PHP2Shell açıklarına ilişkin teknik detayların internet üzerinden sızdırılmasının ardından, işlerin orijinal ifşa planından iki gün önce hızlandığını açıkladı. Sızan bilgiler arasında CVE tanımlayıcıları ve bazı kritik altyapı sağlayıcılarına yönelik hafifletme tavsiyeleri yer alıyordu. Güncellemeler yayınlanmadan önce bazı istismar kavram kanıtları (PoC) yayınlanmış olsa da, PHP ekibi bunların o sırada herhangi bir fiili saldırı işlevselliğine sahip olmadığını belirtti.
Saha saldırılarının izlenmesi ve başlangıcı
Amazon'un raporu, Cloudflare, watchTowr, Previdian, Hadrian ve Patchstack gibi birçok güvenlik şirketinin kamuya açık ifşadan önce başarısız istismar girişimlerini tespit etmesinin ardından geldi. Amazon Web Services (AWS) Bilgi Güvenliği Başkanı CJ Moses'ın açıklamalarına göre, ilk girişimler 17 Ekim Cumartesi günü ticari bir anonimleştirme ağına ait IP adreslerinden başlatıldı.
Moses, kullanılan fiili yüklerin ve anonimleştirme altyapılarının, birden fazla saldırgan tarafın dahil olduğuna işaret edecek şekilde çeşitlilik gösterdiğini ekledi. Savunmacıları, saldırıların başlangıç tarihi olarak kamuya açık ifşa tarihini esas almamaları konusunda uyardı ve açıkların şu anda sahada yaygın bir şekilde istismar edildiğini vurguladı.
Bu durum sistemler ve web siteleri için ne anlama geliyor?
PHP (Hypertext Preprocessor), WordPress, Drupal ve Joomla gibi popüler içerik yönetim platformları da dahil olmak üzere internetteki web sitelerinin yaklaşık %80'ini çalıştıran açık kaynaklı programlama temelidir. VirusTotal platformundan elde edilen veriler, internette açıkta bulunan 5,1 milyondan fazla PHP sunucusu olduğunu ve bunların yaklaşık 3,8 milyonunun potansiyel saldırılara açık en az bir bağlantı noktasına sahip olduğunu gösteriyor; bu da olası etkinin son derece geniş kapsamlı olduğunu ortaya koyuyor.