Dream’in 25 Sunucuyu Ele Geçiren PHP2Shell Saldırı Zinciri Raporu

Dream, ABD hükümetiyle bağlantılı bir ortamdaki sistemler de dahil olmak üzere 25 sunucuyu ele geçirdiğini belirttiği bir PHP2Shell saldırı zincirini bildirdi. 26 Ekim tarihli incelemesi, açıkta bırakılmış bir güvenlik duvarı yönetim arayüzünün kurum içi kimlik altyapısına uzanan bir geçide dönüşmesini anlatıyor.

Bildirilen toplam, çevre ağını koruyan 24 güvenlik duvarı ve bir iç yönetim sunucusundan oluşuyor. Dream, etkilenen üretici ve yazılım sürümlerini açıklamadı; üreticiyi bilgilendirdiğini söyledi.

İstismar Zinciri İki Güvenlik Sınırını Nasıl Aştı?

Zincirde, CVE-2026-109618 ve CVE-2026-109619 olarak izlenen PHP2Shell ile Linux’taki ayrıcalık yükseltme açığı Fragnesia (CVE-2026-46300) birlikte kullanıldı.

Bu güvenlik açıkları farklı engelleri aşmaya yarıyor. Uzaktan kod yürütme, saldırgana erişilebilir bir hizmet üzerinden kod çalıştırma olanağı veriyor. Yerel ayrıcalık yükseltme ise kısıtlı bir erişim noktasını işletim sistemi üzerinde denetime dönüştürebiliyor. Bu ikisinin bir arada kullanılması, olaya müdahale sürecini değiştiriyor: İnceleme ekiplerinin, ele geçirilen cihazın kendi yönetim arayüzünün ötesinde nelere erişebildiğini de değerlendirmesi gerekiyor.

Red Hat, Fragnesia’yı Linux çekirdeğinin XFRM ESP-in-TCP alt sistemindeki bir güvenlik açığı olarak tanımlıyor. Güvenli olmayan şifreleme işlemleri, düşük ayrıcalıklara sahip yerel bir saldırganın salt okunur dosyaların sayfa önbelleğini değiştirmesine, ayrıcalıklı ikili dosyaların üzerine yazmasına ve kök ayrıcalıkları elde etmesine olanak tanıyabiliyor. Dolayısıyla bu, ilk kimlik doğrulamasız giriş noktası değil, farklı bir ayrıcalık yükseltme yöntemi.

Dream, bir LDAP hizmet hesabına ait kimlik bilgisinin ele geçirildiğini ve dizin taraması yapıldığını doğruladı. Parola püskürtme girişiminin, arka kapı hesabı oluşturma teşebbüsünün veya SAML imzalama anahtarının çıkarılmasının başarılı olup olmadığını belirleyemedi. Bu sınırlamalar önemli: Dizin bilgilerine erişimin doğrulanmış olması, Active Directory’nin bütünüyle ele geçirildiğini kanıtlamıyor.

Yapay Zekâya İlişkin Bulgular Ne Gösteriyor?

İnceleme ekipleri, Claude Code’un yüklü olduğunu ve DeepSeek ile Kimi kullanacak şekilde yapılandırılmış saldırı amaçlı bir platform bulunduğunu tespit etti. Dream, bu araçların istismar kodunu veya istismar sonrası komut dosyalarını yazdığına dair doğrudan kanıtı olmadığını belirtti ve operasyonu bütünüyle otonom olarak nitelendirmedi. Çin bağlantısı olduğu yönündeki değerlendirmesi ihtiyatlı bir varsayım niteliğinde; herhangi bir tehdit aktörünün adını vermedi.

Savunma ekipleri açısından bu ayrım, gözlemlenebilir araçları; yazarlık, operatörün kimliği veya otonomi hakkındaki çıkarımlardan ayırıyor. Bir kodlama asistanının varlığı, iş akışına ilişkin bir varsayımı destekleyebilir; ancak modelin hangi kararları verdiğini veya operasyonu kimin yönettiğini tek başına ortaya koyamaz.

PHP Düzeltmeleri ve Daha Önceki İstismar Dönemi

PHP projesinin 21 Ekim tarihli güvenlik duyurusu, kritik önem taşıyan iki uzaktan kod yürütme açığını gideren güvenlik sürümleri olarak PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini belirtiyor. Açıklardan biri, bellek yetersizliği durumunun ele alınış biçimi nedeniyle dahili istek verilerinin kısmen başlatılmamış kalmasına yol açıyor; diğerinde ise dayanak oluşturan bellek serbest bırakıldıktan sonra eski dahili durum varlığını sürdürüyor.

Proje, web isteklerini işleyen PHP kurulumlarının risk altında olduğu konusunda uyarıyor; en yüksek riskin Apache’nin mod_php yapılandırmasında bulunduğu değerlendiriliyor. Kısmi önlemlerin tam koruma sağlamadığını belirtiyor ve kullanıcılara güncelleme yapmalarını öneriyor. Paketlenmiş cihazlarda uygulanabilir düzeltme yöntemi, yalnızca çalışma zamanı sürüm numarasına değil, üreticinin desteklediği ürün yazılımına ve geriye taşınmış düzeltmelere bağlı.

Unite.AI daha önce PHP yamalarını ve açıkların keşfinde öncü yapay zekânın rolünü ele almıştı. Bu yeni rapor, dikkati keşif sürecinden internete açık bir kurulumun sonuçlarına çeviriyor.

Ayrı olarak Amazon Threat Intelligence, PHP2Shell’i istismar etme girişimlerinin kamuya açıklamadan önce, 17 Ekim’den başlayarak MadPot tuzak sunucu ağında görüldüğünü bildirdi. Bu telemetri, Dream’in anlattığı kampanyayı aynı operatörün yürüttüğünü kanıtlamıyor.

AWS, kritik ve internete açık güvenlik açıklarına yönelik azaltma sürelerinin saat cinsinden ölçülmesini, incelemelerin açıklama tarihinden değil bilinen en erken istismar girişiminden başlatılmasını ve yalnızca CVE’ye özgü bir imzaya dayanmayan tespit yöntemleri geliştirilmesini öneriyor. PHP2Shell için en az 17 Ekim’e kadar geriye dönük inceleme yapılmasını tavsiye ediyor.

Dream’in Teknolojisi Bu Tabloya Nasıl Oturuyor?

Şirketin internet sitesinde Dream, Hero’yu güvenlik açığı incelemesi, kötü amaçlı yazılımların tersine mühendisliği, adli analiz ve doğrulanmış düzeltmeleri destekleyen otonom bir siber araştırma sistemi olarak tanıtıyor. Tamamlayıcı Sphere platformu ise kamu kurumları ve kritik altyapı ortamlarında riskleri haritalandırmaya ve savunmaya öncelik vermeye odaklanıyor.

Teknik açıdan, belirli bir zayıflığı incelemekle bu zayıflığın işleyen bir ağın neresinde önem taşıdığını anlamak arasında fark var. Çevre ağındaki bir cihazın, yönetim sunucusunun ve kimlik dizininin sahipleri ile yama takvimleri farklı olabilir; yine de saldırgan bunları tek bir saldırı yolunda birleştirebilir. Etkili bir kontrol altına alma süreci, ilgili güncellemelerin yüklenmesinin yanı sıra bu yolun da incelenmesini gerektiriyor.