Amazon: PHP2Shell saldırıları yamalardan dört gün önce başladı

Amazon Threat Intelligence, PHP'deki iki kritik açığın, PHP güvenlik ekibi yamaları yayımlamadan dört gün önce, 17 Ekim'de kötüye kullanılmaya başlandığını bildirdi.

Amazon Threat Intelligence, PHP2Shell olarak adlandırılan ve CVE-2026-109618 ile CVE-2026-109619 numaralarıyla izlenen iki kritik açığı sömürme girişimlerinin 17 Ekim'de başladığını açıkladı. PHP güvenlik ekibi yamaları ise 21 Ekim'de yayımladı; yani saldırılar yamalardan dört gün önce başlamış oldu.

Açıklar uzaktan kod çalıştırılmasına izin veriyor. İlk tarama girişimleri, açığın henüz ifşa edilmediği ve gizlilik ambargosu altında olduğu dönemde, anonimleştirilmiş bir IP adresinden bir tuzak sunucuya (honeypot) yapıldı. Bu durum, bir tehdit aktörünün ifşa öncesinde sömürü ayrıntılarına sahip olduğuna işaret ediyor.

Açığın duyurulmasının ardından birkaç saat içinde çeşitli kavram kanıtı (proof-of-concept) sömürü kodları yayımlandı. Ancak PHP ekibi, yayımlanan bu kodların hiçbirinin çalışmadığını söyledi. Amazon ise açıkların artık yaygın biçimde ve gerçek ortamda sömürüldüğünü belirtiyor ve savunucuların kamuya açıklanma tarihini sömürünün ilk günü olarak görmemesi gerektiğini vurguluyor.

PHP, WordPress, Drupal ve Joomla kurulumları dahil olmak üzere web sitelerinin büyük bölümünü çalıştırıyor. VirusTotal, internete açık 5,1 milyondan fazla PHP sunucusu saydığını, bunların yaklaşık 3,8 milyonunun saldırılara açık en az bir portu bulunduğunu bildiriyor.