PHP2Shell Saldırılarındaki Gelişmeler
PHP2Shell (CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kayıtlı) açıklarını gidermek için acil güncellemelerin yayınlanmasından sadece iki gün sonra siber güvenlik şirketleri, tehdit aktörlerinin bu açıkları ünlü Mirai botnet varyantını yaymak amacıyla istismar etmeye yönelik yoğun girişimlerini tespit etti. Uzaktan Kod Çalıştırma (RCE) yeteneği sağlayan ve CVSS v4.0 üzerinden 9.2 puan alan açıkların ciddiyetine rağmen, şu ana kadar gerçek ortamlarda herhangi bir başarılı ihlal doğrulanmadı.
Saldırganların Karşılaştığı Teknik Zorluklar
Sophos ve Hunt.io gibi şirketler tarafından yayınlanan analizler, saldırganların bu açıkların etkili birer istismara dönüştürülmesinde aşırı zorluklarla karşılaştığını gösteriyor. Sansec, bu açıkların sunucu yapılandırmalarının kesin bir şekilde bilinmesini ve belirli çalışma koşullarını gerektirdiğini, halka açık olarak sunulan araçların çoğunun varsayılan PHP ayarlarıyla karşılaşıldığında başarısız olduğunu belirtti.
Öte yandan VulnCheck şirketi, x86-64 sistemlerinde saldırganların önünde temel bir engel olarak kabul edilen bir bellek koruma teknolojisi olan ASLR'yi (Adres Alanı Düzen Rasgeleştirmesi) bypass eden bir istismar geliştirmeyi başardı. Bununla birlikte, bu istismar yalnızca şirketin müşterilerine sunulmuş durumda; bu durum, kamuya açık araçlar ile gelişmiş saldırı kabiliyetleri arasındaki uçurumu yansıtıyor.
Pratikte Ne Değişiyor?
- İstismar Karmaşıklığı: Saldırganların sunucularında (SOCRadar aracılığıyla) bulunan araçlar, saldırganların yoğun laboratuvar denemeleri yaptığını, ancak kendi test ortamlarıyla eşleşmeyen gerçek sunucuları ele geçirmekte başarısız olduklarını gösterdi.
- İhtiyati Tedbirler: Bu açılara yönelik endişeler, aralarında Avrupa'daki devlet ve eğitim kurumlarının da bulunduğu birçok kuruluşun, güncellemeleri uygularken geçici bir önlem olarak sistemlerini askıya almasına yol açtı.
- Yama Uçurumu: Qualys verileri, yama yönetimindeki büyük bir zorluğu ortaya koydu; milyonlarca PHP kopyası, hiçbir güvenlik yaması almayacak olan ve bu nedenle uzun vadede risk altında kalmaya devam eden çok eski (Ömrünü Tamamlamış - End-of-Life) sürümlerle çalışmaya devam ediyor.
Güvenlik Bağlamı
Söz konusu açılar geçen Ağustos ayında Wiz, OpenAI ve Calif tarafından keşfedildi ve CVE kimliklerinin sızdırılmasının ardından 21 Ekim'de güncellemelerin (8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri) yayınlanması hızlandırıldı. Amazon tarafından 17 Ekim'de ilk istismar girişimleri tespit edilmiş olmasına rağmen, saldırı faaliyeti şu ana kadar doğrulanmış ihlallere dönüşmedi; bu durum, sistem yöneticilerine, saldırganlar daha verimli araçlar geliştirmeden önce güncellemeleri uygulamaları için kritik bir fırsat sunuyor.