PHP2Shell Saldırısı 25 Sunucuda Kök Saldırdı, ABD Hükümeti İlişkili Ağı Sızdırdı.

Görsel Kaynağı: The Hacker News

Siber güvenlik araştırmacıları, PHP2Shell açıklarından yararlanarak açıkta kalan sistemlere sızan, Çin bağlantılı olduğu düşünülen bir tehdit aktörünün organize ettiği yapay zekâ (AI) destekli bir saldırının ayrıntılarını açıkladı.

25 Ekim 2026’da gözlemlenen faaliyet, bir saldırganın PHP2Shell’i bir çekirdek (kernel) ayrıcalık yükseltme açığıyla birleştirerek 25 sunucuyu kök (root) erişimine açmasını içeriyor; bunların üçü ABD hükümetiyle bağlantılı bir ortamda bulunuyordu.

“Etkilenen cihazlar, büyük bir üreticinin güvenlik duvarı yazılımının belirli sürümlerini çalıştırıyor,” güvenlik firması Dream belirtti. “Saldırgan ardından Active Directory’ye saldırılar başlattı. Geri alınan kalıntılar kimlik doğrulama verilerinin çıkarıldığını ve dizin taramasının yapıldığını doğruluyor.”

Etkilenen üreticinin ismi açıklanmadı, ancak İsrail merkezli firma söz konusu tarafı bilendirdiğini belirtti. Saldırı zinciri temelde PHP ve Linux çekirdeğini etkileyen iki açıkla setini bir araya getiriyor:

• PHP2Shell , kimlik doğrulamadan uzak kod çalıştırmasına yol açabilecek, CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen iki açık (CVSS puanları: 9.2)
• Fragnesia , CVE-2026-46300 olarak takip edilen, Linux çekirdeğinde yerel ayrıcalık yükseltmeye yarayan bir açık (CVSS puanı: 7.8)

“Geri aldığımız uygulama, PHP2Shell için bilinen herhangi bir halka açık açığın kopyası değil, özel ve halka açık olmayan bir derleme. Aynı temel kavrama uyuyor ancak bağımsız olarak geliştirildiği ve özellikle hedeflenen güvenlik duvarı platformuna göre uyarlandığı görülüyor,” Dream araştırmacıları açıkladı.

“Açık, güvenlik duvarının appweb yönetim sunucusundaki PHP session.upload_progress mekanizmasını hedefliyor. Güvenlik duvarı işletim sistemi, saldırının bellek bozulma aşamalarını mümkün kılan yüksek bellek sınırı kullanan PHP 8.0.30 kullanıyor.”

PHP2Shell açak zincirinin bu özel biçimde silahlandırılması ile CVE-2026-46300’ün birleşiminin ABD, Japonya, Tayvan ve Güney Kore’de 25 sunucuyu kök erişimine açmış olması bildiriliyor.

Dream tarafından tespit edilen kalıntıların, operasyonun bir laboratuvar ortamında söürüm (exploit) geliştirmesiyle başladığını ve ardından bir ABD hükümeti kuruluşunun iç Active Directory alanına kalıcı erişim sağladığını gösterdiği belirtildi.

“Kök erişimi sağlandıktan sonra saldırgan, ABD hükümetiyle bağlantılı bir ortamdaki üç belirli sunucuya odaklandı,” diye not düştü şirket.

Yapay zekâ destekli araçlara işaret eden bağlantılar, saldırı altyapısına Anthropic’in Claude Code’unun kurulmuş olması ve ayrıca DeepSeek ve Kimi’den büyük dil modelleri (LLM’ler) ile yapılandırılmış, FOFA için API anahtarlarının yanı sıra aiscan adlı yapay zekâ destekli saldırgan güvenlik platformunun mevcut olması gibi kanıtlara dayanıyor.

Kaynak Görseli: The Hacker News

Buna ek olarak, neredeyse 40 script boyunca tutarlı olan kod yapısı, yorumlama stili ve tutarlılık, geliştirme sürecini desteklemek için yapay zekâ kullanımına işaret ediyor. Dream’e göre operasyon tamamı aşağıdaki gibi işliyor –

• Saldırgan, dünyada yönetim arayüzleri açık yaklaşık 19.000 internete açık güvenlik duvarını belirlemek için FOFA’yı kullanır.
• Bu cihazların çevrimiçi olup olmadığı ve hangi işletim sistemi sürümünü çalıştırdığı belirlenmek üzere özel bir sürüm tarayıcısı çalıştırılır. Yaklaşık 5.000 cihaz sürüm bilgisiyle yanıt verir.
• Saldırgan sunucuları ABD, Japonya, Tayvan ve Güney Kore’de bulunanlarla sınırlar, ardından PHP 8.0.30 çalıştıran yeni sürüm dallarıyla eşleşen sistemlere odaklanır. Bu adım 240 hedef üretir.
• Hedef listesi, PHP2Shell-Fragnesia zincirini sömüren, güvenlik duvarının halka açık bir dizinine bir PHP web kabı eken, kök (root) erişimini doğrulayan ve hedefin ana bilgisayar adını ile IP adresini bir CSV dosyasına kaydeden otomatik bir toplu çalıştırıcıya girdi olarak verilir. Bu adım saldırgana 24 sunucuda kök erişim sağlar.
• Başarıyla zayıflatılan iki sistem, ABD hükümetiyle bağlantılı bir kuruluşun sahip olduğu belirlenir. Bunlardan biri 23 Ekim 2026’da saat 18:14 UTC’de kök erişimine alındıktan kısa bir süre sonra çöker ve bir daha çevrimiçi hale gelmez. Saldırgan, 24 Ekim 2026’da saat 10:09 UTC’de ikinci bir sistemi başarıyla kök erişimine almak için özel bir kampanya yürütür.
• Saldırgan, ikinci sistemi sömürerek, zayıflatılan güvenlik duvarını operatör altyapısına bağlayan ters bir SSH tüneli aracılığıyla iç ağa kalıcı bir kanal oluşturur. Saat 11:35 UTC’de, üçüncü bir devlet sunucusu aynı yöntemle zayıflatılır; tek fark, bunun yalnızca tünel üzerinden ulaşılabilecek bir iç güvenlik duvarı yönetim sunucusu olmasıdır. Kök erişimine alınan sunucuların toplam sayısı 25’e ulaşır.
• Saldırgan, LDAP hizmet hesabının şifresini çözmek, kullanıcıları listelemek ve kimlik bilgilerini ele geçirmeye çalışmak için her kullanıcı hesabına kuruluş temalı şifrelerle şifre sıçratmak üzere Active Directory’ sömürür. İşlem aynı zamanda arka kapı Active Directory hesapları oluşturmaya da çalışır.

Threat aktörünün bu faaliyetlerle geçerli kimlik bilgilerini başarıyla ele geçireip geçemediği veya arka kapı hesapları oluşturup oluşturmadığı belli değil. Bu nedenle, ihlalin tam kapsamı belirsizliğini koruyor.

“Çin devleti destekli siber operasyonların Pasifik sahnesindeki dört temel stratejik düşman ve istihdat hedefi olarak ABD, Japonya, Tayvan ve Güney Kore’yi öne çıkarması, potansiyel devlet-üstü düşman girişimlerine işaret ediyor,” diye belirtti Dream.

“Operasyon, açığa çıkmış bir yönetim arayüzünün bir kuruluşun kimlik altyapısına açılan bir yol haline nasıl gelebileceğini gösteriyor. Geri kalan 22 kök alınmış güvenlik duvarı hâlâ aktif web kabuklarıyla duruyor. ABD hükümeti kuruluşuna yönelik kalıcı tünelleme muhtemelen hâlâ çalışır durumda. Saldırgan, ek işletim sistemi sürümleri için profiller geliştirirken yeniden ziyaret edebileceği 19.000 parmak izi hedefine sahip olmaya devam ediyor.”

Açıklama, PHP2Shell açıklarının gerçek dünyada sınırlı ölçüde istismar edildiği bir dönemde geldi; threat aktörleri, bu açıkları kampanyalarına dahil etmelerine rağmen bir kavram kanıtı (PoC)’yı gerçek hedeflere karşı güvenilir bir saldırı vektörüne dönüştürme zorluklarını öne çıkarıyor.

“Pratikte istismar edilemez bir çöp. Gerçek hedefleri istismar etmek için libphp.so’dan ofsetlere ihtiyacın var; bunlar her derleme için benzersizdir ve zorlama ile tahmin edilmesi imkânsızdır. Kendi test ortamında yeniden üretebilir ya da hedefin dosya sistemine erişimin zaten varsa,” diyor XSS forumunda c0d3x takma adını kullanan bir üye, Flare’a göre.