Web sunucuları ve uygulamaları, ciddi PHP2Shell açıklarını hedef alan geniş çaplı ve yoğun bir saldırı dalgasıyla karşı karşıya kalırken; siber güvenlik şirketleri, saldırı girişimlerinin hacminin büyüklüğüne rağmen başarılı ihlal oranının son derece sınırlı kaldığını teyit ediyor.
Bu kampanyada Palo Alto Networks şirketine ait güvenlik duvarları ön plana çıktı. Çin bağlantılı bir korsan grubu, PHP2Shell açıklarının istismarını Fragnesia olarak bilinen Linux çekirdeği ayrıcalık yükseltme açığıyla birleştirerek bunlardan bir kısmını root yetkileriyle kötü amaçlı yazılım yaymak suretiyle ele vermeyi başardı.
Palo Alto Cihazlarının Hedef Alınma Detayları
Palo Alto Networks, güvenlik kuruluşları tarafından ortaya konulan bulguları doğrulayarak; saldırganların yapay zeka araçlarının yardımıyla, internete açık yönetim arayüzleriyle bağlantılı PAN-OS cihazlarındaki (CVE-2026-109618) ve (CVE-2026-109619) kodlu açıkları istismar ettiğini açıkladı. Şirket, PA-Series ve VM-Series güvenlik duvarı serileri ile Panorama sistemlerinin etkilenen sürümlerindeki hatayı gidermek için acil yazılım güncellemeleri yayınladı.
Şirket, varsayılan yönetim arayüzünün doğası gereği internete açık olmadığını belirterek, küresel müşteri tabanının yaklaşık %0.02'si gibi çok küçük bir oranının bu açık arayüzlerden etkilendiğini ve gerekli düzeltmelerin uygulanması için doğrudan ilgili müşterilerle iletişime geçildiğini kaydetti.
PHP Sunucuları Üzerinde Geniş Etki ve WordPress Karşısında Başarısızlık
Şirketin uzaktan ölçüm verileri, WordPress, Drupal ve Joomla gibi içerik yönetim sistemlerinde dilin yaygın kullanımı nedeniyle 22,6 milyondan fazla PHP kopyasının PHP2Shell açıkları nedeniyle potansiyel risk altında olduğunu gösterdi.
WordPress gibi platformları hedef alan binlerce tarama isteği ve saldırı kaydedilmesine rağmen, Defiant siber güvenlik şirketi bugüne kadar herhangi bir WordPress sitesinin başarıyla ele geçirildiğine dair bir vaka kaydedilmediğini teyit etti. Şirket bunu, istismarların hedef sunucu ortamlarına, bellek ayarlarına ve PHP sürümlerine uyarlanması için sürekli bir ihtiyaç duyulmasına bağladı.
Sistem Yöneticileri İçin Önemli Olan Nedir?
Bu kampanya, mevcut siber saldırıların hassas altyapılarda tam yetkilere ulaşmak için birden fazla açığı birleştirmeye (Chaining) giderek daha fazla güvendiğini doğruluyor. Cato Networks gibi şirketler tarafından belgelenen istismar girişimlerinin çoğunluğu uzaktan kod çalıştırmaya (RCE) odaklanmış ve sağlık ile teknoloji gibi çeşitli sektörleri hedef almış olsamı, başarılı ihlallerin minimum düzeyde kalması anında güncelleme yapmanın ve internet üzerinden doğrudan yönetim arayüzlerine erişimi kısıtlamanın önemini vurgulamaktadır.