Siber güvenlik araştırmacıları, Çin merkezli hacker gruplarının, daha önce keşfedilen PHP2Shell açıklarını kullanarak sunucuları ele geçirdiğini ve güvenlik duvarlarını aştığını bildirdi. Saldırganların, Palo Alto Networks güvenlik duvarlarının eski işletim sistemlerini hedef aldığı ve bu saldırılarda PHP2Shell ile birlikte Linux çekirdek açığı olan Fragnesia'yı kullandığı belirtildi. Bu birleşim sayesinde saldırganlar, savunmasız sistemlerde kök (root) erişimi elde edebildi.

Saldırılar Nasıl Gerçekleşti?

Dream adlı siber güvenlik firmasının raporuna göre, saldırılar 23 Ekim 2026'da başladı. Hackerlar, öncelikle ABD, Japonya, Tayvan ve Güney Kore'deki şirketleri taradı. Ardından, özellikle eski PAN-OS sürümünü çalıştıran Palo Alto Networks cihazlarına odaklandılar. PHP2Shell açıkları (CVE-2026-109618 ve CVE-2026-109619) ile Fragnesia (CVE-2026-46300) açığının birleştirilmesiyle, saldırganlar internete açık bırakılmış bir yönetim arayüzünden sisteme sızmayı başardı. Sızma işleminin ardından, kök erişimi elde eden saldırganların 40'tan fazla özel komut dosyası (script) çalıştırdığı tespit edildi.

Neden önemli?

PHP, internetin yaklaşık %70'inde kullanılan yaygın bir programlama dili olması nedeniyle PHP2Shell açıkları büyük endişe yaratmıştı. Bu açıkların, tam web sitesi devralmalarına olanak tanıdığı düşünülüyordu. Ancak ilk başta kitlesel sömürü denemeleri yaşanmadı. Bunun nedeninin, Adres Alanı Düzeni Rastgeleleştirmesi (ASLR) gibi güvenlik önlemleri veya açıkları kullanmanın zorluğu olduğu düşünülüyordu. Ancak bu son saldırılar, doğru araçlar ve tekniklerle bu engellerin aşılabileceğini gösteriyor. Özellikle kurumsal düzeyde kullanılan ve kritik altyapıları koruyan güvenlik duvarlarının hedef alınması, ciddi sonuçlar doğurabilir.

Türkiye'de ne anlama geliyor?

Şu an için bu saldırıların doğrudan Türkiye'deki kurumlara yönelik olup olmadığına dair bir bilgi bulunmuyor. Ancak, küresel çapta etkili olan bu tür siber saldırılar, dolaylı yoldan Türkiye'deki şirketleri de etkileyebilir. Özellikle Palo Alto Networks güvenlik duvarı kullanan ve yönetim arayüzünü internete açık bırakan kurumların derhal harekete geçmesi gerekiyor. Şirketler, güvenlik duvarlarının işletim sistemlerini en son sürüme güncellemalı ve yönetim arayüzlerine erişimi kısıtlamalıdır. Palo Alto Networks, etkilenen tüm müşterileriyle birebir iletişime geçtiğini belirtmiştir.

Gelecekte Neler Bekleniyor?

Saldırganların, ele geçirilen sistemlerde hala aktif erişime sahip olabileceği düşünülüyor. Bu durum, veri sızdırma, fidye yazılımı yerleştirme veya daha derin ağlara sızma gibi daha fazla zararlı faaliyete yol açabilir. Siber güvenlik uzmanları, bu tür zincirleme saldırıların artabileceği konusunda uyarıyor. Yapay zeka (AI) kullanımına dair kanıtlar bulunsa da, saldırının tamamen AI tarafından otomatikleştirilmediği düşünülüyor. Ancak gelecekte AI destekli saldırıların daha yaygın hale gelmesi olası görünüyor.

Sıkça Sorulan Sorular

PHP2Shell nedir?

PHP2Shell, PHP programlama dilinde bulunan ve saldırganların sunucularda kök erişimi elde etmesine olanak tanıyan kritik bir güvenlik açığıdır. Bu açık, web uygulamalarının kontrolünü ele geçirmeyi kolaylaştırır.

Palo Alto Networks güvenlik duvarları neden hedef alındı?

Palo Alto Networks güvenlik duvarlarının eski ve yamalanmamış PAN-OS sürümlerinin kullanılması, bu cihazları PHP2Shell ve Fragnesia açıklarına karşı savunmasız hale getirdi. Saldırganlar, internete açık yönetim arayüzlerini kullanarak bu zafiyetleri sömürdü.