Amazon: PHP2Shell saldırıları yamalardan günler önce başladı

Saldırganlar, PHP programlama dilindeki iki kritik açık olan PHP2Shell zafiyetlerini istismar etmek için milyonlarca girişimde bulundu. Amazon, ilk girişimi yamaların yayınlanmasından dört gün önce gördüğünü açıkladı. Yine de Avrupalı siber güvenlik yetkilileri, bilgisayar korsanlarının bu açıkları çalışan saldırılara dönüştürmekte zorlandığını, bu durumun da sızdırılan ve aceleye getirilen açıklamanın aslında ne kadar hasara yol açtığının belirsiz olduğunu gösterdiğini belirtiyor.

Saldırı dalgası

Cloudflare CEO'su Matthew Prince, Perşembe günü erken saatlerde yaptığı açıklamada, şirketinin "milyonlarca" istismar girişimi gördüğünü belirtti. The Register'a göre Cloudflare, kamu duyurusundan 10 saat önce binlerce, duyurudan 45 dakika sonra on binlerce ve iki saat içinde yüz binlerce girişim saydı. Cloudflare ayrıca saldırganların güvenlik duvarı kurallarını aşmak için yüklerini (payload) sürekli değiştirdiklerini ifade ettipolitico.eu+1.

Zafiyetler CVE-2026-109618 ve CVE-2026-109619 olarak takip ediliyor. Her ikisi de 9.2 şiddet puanına sahip ve bir saldırganın sunucuda oturum açmadan kod çalıştırmasına izin verebiliyor. Security Affairs'e göre PHP, 21 Ekim'de 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde düzeltmeleri yayınladı. BleepingComputer'ın haberine göre, açıklarla ilgili detayların internete sızmasının ardından PHP ekibi yayın tarihini öne çekmek zorunda kaldıbleepingcomputer.com+1.

Amazon'un erken tespiti

Amazon Tehdit İstihbaratı bir blog yazısında, saldırganları çekmek için kurulan bir tuzak sistem ağı olan MadPot'un, 17 Ekim Cumartesi günü bir PHP2Shell istismar girişimi kaydettiğini belirtti. Girişim, ticari bir anonimleştirme ağıyla bağlantılı bir IP adresinden geldi. Amazon'un Bilgi Güvenliği Başkanı CJ Moses, "Aktörün istismar bilgilerini açıklamadan önce nasıl elde ettiği belirsizliğini koruyor" diye yazdıaws.amazon.com.

21 Ekim'de Amazon, 14:00 UTC'deki yayınlanmadan yaklaşık 12 saat önce, 02:00 UTC civarında başlayan birkaç kavram kanıtı (proof-of-concept) istismarı gördü. Amazon'a göre yüklerin çeşitliliği, birden fazla aktöre işaret ediyor. Şirket, PHP2Shell'in "şu anda vahşi ortamda geniş çapta istismar edildiğini" ancak bu girişimlerin gerçek sistemlere karşı başarılı olup olmayacağının belirsiz olduğunu ekledi. The Register'ın haberine göre Amazon, kuruluşlara en az 17 Ekim'e kadar geriye dönük şüpheli etkinlikleri kontrol etmelerini tavsiye ettitheregister.com.

Yetkililer az sayıda başarı görüyor

Almanya'nın siber güvenlik kurumu BSI'nın başkan yardımcısı Thomas Caspers, Politico'ya yaptığı açıklamada saldırılar gördüklerini ancak başarılı bir istismar olmadığını söyledi. Caspers, "İstismar etmek beklenenden biraz daha karmaşık görünüyor" dedi. Hollanda siber güvenlik ajansı başkanı Matthijs van Amelsfort ise açığın "aktif olarak kötüye kullanıldığına" dair bir işaret olmadığını, ancak bunun değişebileceği konusunda uyardıpolitico.eu.

Avrupa'daki birçok hükümet departmanı önlem olarak web sitelerini çevrimdışı hale getirdi. Politico'nun haberine göre, Perşembe sabahı itibarıyla Fransa Adalet Bakanlığı ve veri koruma otoritesinin web sitelerinde hala bakım uyarıları görünüyordupolitico.eu.