PHP2Shell açıkları Avrupa'da bir kamu kurumunu ele geçirdi; saldırganlar yapay zekâ destekli araçlar kullandı

Saldırganlar iki saat içinde şifre özetlerini ve MFA sırlarını ele geçirdi, ardından Active Directory'de Domain Admin yetkisine ulaşmaya çalıştı.

Palo Alto Networks Unit 42, PHP2Shell açıklarını (CVE-2026-109618 ve CVE-2026-109619) kullanan saldırganların, Avrupa'da bir kamu kurumuna sızdıktan sonra yapay zekâ destekli araçlar kullandığını bildirdi. Saldırganlar ilk sömürmenin ardından iki saat içinde şifre özetlerini ve MFA sırlarını ele geçirdi.

Saldırganlar ayrıca Active Directory'ye bir NTLM relay tüneli kurdu ve Domain Admin yetkisine yükselmeye çalıştı. Olay, kurumun kimlik altyapısının ne kadar hızlı hedef hâline gelebildiğini gösteriyor.

Ayrı bir gelişmede CYFIRMA, 21 ele geçirilmiş düğümden yürütülen düşük hacimli bir tarama kampanyasını raporladı. Kampanya, ABD, Japonya, Güney Kore ve diğer ülkelerdeki yamanmamış ya da kısmen önlenmiş 216 sunucuyu yokluyor. CYFIRMA, kampanyayı orta düzeyde güvenle Lazarus Grubu ekosistemiyle bağlantılı Korece konuşan bir operatöre bağlıyor ve bunun ardından sömürü gelmesini bekliyor.

Cloudflare, açıkların kamuya açıklanmasından bu yana milyonlarca sömürme girişimi tespit ettiğini bildirdi. Her iki açık da varsayılan PHP yapılandırmalarında uzaktan kod çalıştırmaya yol açabiliyor.