Cin baglantili saldirganlar PHP2Shell aciklarini zincirleyip guvenlik duvarlarini ele gecirdi, ABD devletiyle baglantili bir aga sizdi

Cin baglantili bir tehdit aktoru, bir dizi acigi zincirleyerek internete acik guvenlik duvarlarinda root erisimi elde etti ve ABD devletiyle baglantili bir kurumun ic agina sizdi. SecurityWeek ve The Hacker News'in 28 Ekim 2026'da aktardigi, siber guvenlik sirketi Dream'in arastirmasina gore gelisme bu sekilde yasandi. Dream etkinligi adi konmus bir gruba atfetmiyor ancak "Cin baglantili" oldugunu degerlendiriyor ve hedeflemenin "olasi bir ulus-devlet aktoru cabasina isaret ettigini" soyluyor.

Neler oldu?

SecurityWeek'e gore saldirganlar, CVE-2026-109618 ve CVE-2026-109619 koduyla izlenen ve topluca "PHP2Shell" denilen iki PHP acigini, Fragnesia (CVE-2026-46300) adli bir Linux cekirdek yetki yukseltme acigiyla birlestirdi. PHP aciklarinin cekirdek acigiyla zincirlenmesi, aktorun hedef cihazlarda root'a yukselmesini sagladi. Dream'e gore aktor once Cin'in internet varlik arama motoru FOFA ile belirli bir uretici markali yaklasik 19.000 internete acik guvenlik duvarini belirledi; SecurityWeek bu ureticinin adinin aciklanmadigini aktariyor. Saldirganlar ardindan hedefi ABD, Japonya, Tayvan ve Guney Kore'de bulunan ve daha yeni PHP surumleri calistiran cihazlara daraltarak yaklasik 240 olasi hedeflik bir havuz olusturdu.

Teknik detaylar

Dream'e gore saldirganlar 23 ve 24 Ekim'de 25 guvenlik duvarini istismar etti ve otomatik bir arac bunlarin 24'une kalici erisim icin PHP root webshell yerlestirdi. Bu cihazlarin 22'sinde istismar sonrasi herhangi bir etkinlik gozlenmedi. Operasyon tek bir kurbana karsi cok daha ileri gitti. Dream, ABD devletiyle baglantili kurumdaki ilk sunucunun 23 Ekim'de istismardan kisa sure sonra coktugunu; saldirganin iki saat boyunca yaklasik 240 otomatik yoklama calistirarak cihazin toparlanmasini bekledigini, ancak sunucunun hic ayaga kalkmadigini bildiriyor. 24 Ekim'deki ikinci girisim baska bir guvenlik duvarina karsi basarili oldu ve Dream, sertifika verisinin cihazi "kesin bir sekilde hedef kuruma baglandigini" soyluyor.

Kimler etkileniyor?

Dream'e gore saldirganlar ihlal edilen kurumun icinde kalicilik icin bir ters SSH tuneli kurdu ve bunu ic guvenlik duvari yonetim sunucusuna ulasmak icin kullandi. Bu, kurumun yonettigi tum guvenlik duvarlarinin yapilandirmalarini, kimlik bilgilerini ve ayarlarini aciga cikardi. Arastirmaya gore saldirganlar daha sonra bir LDAP servis hesabi parolasinin sifresini cozdu, alan adi kullanici ve gruplarini numaralandirdi, parola puskurtme (password spraying) yapti ve Active Directory'de arka kapi hesaplari olusturmaya calisti; tek bir uc cihazdan ic agin genis capli kontroluna dogru ilerleyen bir seyir izlendi.

Ne yapmali?

Aktarilan bilgiler belirli uretici yama kodlarini icermiyor; bu nedenle savunucularin PHP2Shell aciklari ile Fragnesia cekirdek acigi icin cihaz ureticilerinden ve isletim sisteminden gelen en son duzeltmeleri yayimlandikca uygulamasi gerekiyor. Internete acik guvenlik duvari isleten kurumlar cihazlari yetkisiz PHP webshell'leri ve beklenmedik ters SSH tunelleri icin incelemeli, merkezi guvenlik duvari yonetim sunucularinda ihlal belirtilerini gozden gecirmeli ve bu sunucularin aciga cikarabilecegi tum kimlik bilgilerini (LDAP servis hesaplari dahil) yenilemelidir. Active Directory, tanidik olmayan hesaplar ve parola puskurtme etkinligi acisindan denetlenmelidir.