PHP2Shell saldırıları, iki kritik güvenlik açığının kamuoyuna duyurulmasının ardından kısa sürede büyük bir artış gösterdi. İnternet altyapısı şirketi Cloudflare, açıkları hedef alan milyonlarca saldırı girişimi tespit etti. Güvenlik endişeleri nedeniyle Japonya ve Avrupa'daki bazı kamu kurumları ile büyük şirketler, çevrim içi hizmetlerini geçici olarak durdurdu.
21 Ekim'de yayımlanan güvenlik yamalarına rağmen saldırı hareketliliğinin hız kazanması, dünya genelinde PHP kullanan sistemler için yeni bir endişe yarattı. Üstelik Amazon'un araştırması, saldırganların açıkları resmî duyurudan günler önce kullanmaya çalıştığını gösteriyor.
Cloudflare: Saldırı girişimleri saatler içinde milyonlara ulaştı
Cloudflare CEO'su Matthew Prince'in paylaştığı verilere göre saldırı girişimlerinin sayısı, PHP2Shell açıklarının duyurulmasının ardından hızla yükseldi.
Açıkların kamuoyuna açıklanmasından önceki 10 saat içinde binlerce girişim kaydedilirken duyuruyu takip eden ilk 45 dakikada bu sayı on binlere ulaştı. İki saat içinde yüz binlerce girişim tespit edildi ve daha sonra toplam sayı milyonlarla ifade edilmeye başlandı.
Ancak bu rakamlar, milyonlarca internet sitesinin ele geçirildiği anlamına gelmiyor. Veriler, güvenlik açıklarını kullanmaya yönelik tespit edilen girişimleri gösteriyor; bunların ne kadarının başarılı olduğu bilinmiyor.
Saldırılar güvenlik açıkları açıklanmadan önce başlamış
Amazon'un güvenlik araştırmaları, PHP2Shell saldırılarının sanılandan daha erken başladığını ortaya koydu.
Şirketin 21 Ekim'de yayımladığı teknik incelemeye göre ilk şüpheli istismar girişimi, 17 Ekim 2026'da MadPot adlı tehdit izleme sisteminde tespit edildi.
Bu tarih, güvenlik açıklarının resmen duyurulmasından dört gün öncesine karşılık geliyor.
Amazon, 21 Ekim'deki duyurudan önce de farklı kaynaklardan gelen istismar girişimleri kaydetti. Ancak bu girişimlerin gerçek sistemlerde başarıya ulaşıp ulaşamayacağı henüz kesinleştirilmedi.
Bulgular, saldırganların güvenlik açıklarını kamuoyuna duyurulmadan önce öğrenmiş veya bağımsız olarak keşfetmiş olabileceğini düşündürüyor. Amazon ise saldırganların teknik ayrıntılara nasıl ulaştığının henüz bilinmediğini belirtiyor.
Japonya ve Avrupa'da bazı çevrim içi hizmetler durduruldu
PHP2Shell açıklarının yarattığı güvenlik endişesi, yalnızca saldırı trafiğindeki artışla sınırlı kalmadı. Birçok kuruluş, sistemlerini güvence altına almak amacıyla hizmetlerine geçici olarak ara verdi.
Japonya'da Mitsubishi UFJ Financial Group, ANA hava yolu şirketi ve East Japan Railway gibi büyük kuruluşlar, bazı internet hizmetlerini geçici olarak durdurduklarını açıkladı. Ülkedeki Maliye Bakanlığı ve diğer kamu kurumları da belirli çevrim içi hizmetlerde önlem amaçlı kesintilere gitti.
Fransa merkezli telekomünikasyon şirketi Orange, bazı iştiraklerindeki PHP tabanlı internet sitelerine ve uygulamalara erişimi geçici olarak kapattı.
Finlandiya'nın devlet bilgi teknolojileri hizmet sağlayıcısı Valtori ise güvenlik güncellemelerini uygulamayı sürdürürken önlem amacıyla durdurulan hizmetleri kademeli olarak yeniden açmaya başladı.
Valtori, yaşanan kesintilerin doğrulanmış bir siber saldırı veya sistem ihlalinden kaynaklanmadığını özellikle belirtti. Kurum, güncelleme sonrasında yapılacak kontroller nedeniyle bazı hizmetlerin tamamen geri dönmesinin günler, hatta haftalar sürebileceğini ifade etti.
PHP kullanan internet siteleri için risk devam ediyor
PHP2Shell adıyla bilinen güvenlik sorunları, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip ediliyor. Açıklar, belirli koşullarda saldırganların savunmasız sunucularda yetkisiz kod çalıştırabilmesine imkan tanıyor.
PHP geliştiricileri 21 Ekim'de güvenlik güncellemelerini yayımlamış olsa da henüz gerekli yamaları uygulamayan sistemler risk altında bulunuyor.
Cloudflare ve Amazon Web Services, saldırıların etkisini azaltmaya yönelik koruma önlemleri uyguladıklarını açıkladı. Bununla birlikte her iki şirket de bu önlemlerin PHP güvenlik güncellemelerinin yerini almadığını vurguluyor.
Özellikle WordPress ve diğer PHP tabanlı sistemleri kullanan internet sitesi sahiplerinin, sunucularındaki güvenlik düzeltmelerinin uygulanıp uygulanmadığını kontrol etmesi gerekiyor.
Son gelişmeler, kritik bir güvenlik açığının duyurulmasıyla saldırganların harekete geçmesi arasında artık çok kısa bir süre bulunabildiğini gösteriyor. Bu nedenle yalnızca güvenlik yamalarının yayımlanması değil, söz konusu güncellemelerin sistemlere ne kadar hızlı uygulanabildiği de önem taşıyor.
Yorumlar 0