Çin bağlantılı hackerlar PHP2Shell ile ABD hükümet ağına sızmış

Dream'e göre, Çin bağlantılı olduğu düşünülen hackerlar PHP2Shell açıkları ve bir Linux çekirdek açığı kullanarak ABD hükümet bağlantılı bir ağa sızmış. Firma, saldırganların dört ülkede 19,000 internete açık cihazı taradıktan sonra 24 güvenlik duvarını ele geçirdiğini söyledi. İhlal 25 Ekim'de ortaya çıkarıldı ve PHP2Shell'in tam bir hükümet ağı ihlaline zincirlendiği ilk belgelenmiş vaka olarak tanımlandı.

Saldırı nasıl işledi

İhlal, geçen hafta her biri 9.2 ciddiyet derecesiyle değerlendirilen ve topluca PHP2Shell olarak adlandırılan iki kritik PHP açığının açıklanmasının ardından meydana geldi. Dream, saldırganların CVE-2026-109618 ve CVE-2006109619 numaralı iki PHP2Shell açığını, Fragnesia adlı CVE-2026046300 numaralı bir Linux çekirdek açığıyla birleştirdiğini ve kimlik doğrulaması olmadan savunmasız güvenlik duvarlarında root erişimi elde ettiğini söyledi. Dream'in Ürün ve Siber Araştırma Başkan Yardımcısı Kfir Fleischer, PHP2Shell'in güvenilir biçimde istismar edilmesinin zor olduğunu; çünkü sürüme özgü hassas bellek ofsetleri gerektirdiğini ve evrensel bir istismar olmadığını söyledi. Saldırganın ek bir yerel yetki yükseltme açığıyla bunu zincirlemek zorunda kaldığını ve bunun genel saldırıyı iki aşamalı bir zincir hâline getirdiğini söyledi. Dream, ideal koşullarda bile denemelerin yalnızca yaklaşık %10'unun başarılı olduğunu, başarısızlıkların çoğunun zaman aşımı olduğunu söyledi.

Kapsam ve hedefler

Dream araştırmacıları, saldırgan günlüklerini, istismar araçlarını ve yaklaşık 40 istismar sonrası betiğini ele geçirdikten sonra, iç yapay zekâ araştırma sistemi Hero'yu kullanarak operasyonu yeniden yapılandırdı. Saldırganlar 19,000 internete açık güvenlik duvarı belirledi ve hedefini ABD, Japonya, Tayvan ve Güney Kore'deki 240 savunmasız cihaza daralttı. 24 güvenlik duvarını başarıyla ele geçirdikten sonra, adı açıklanmayan bir ABD hükümet bağlantılı kuruluşun iç yönetim sunucusunu hedef aldılar. Dream, saldırganların erişimi sürdürdüğünü, ana güvenlik duvarı yönetim sunucusunu hacklediğini ve Active Directory kimlik bilgilerini çaldığını; bunun ağa daha fazla erişim sağlamalarına izin verebileceğini söyledi. Saldırganlar daha sonra kullanıcı hesaplarını ve gruplarını listeledi, birçok hesapta yaygın parolaları denedi, gizli erişim hesapları oluşturmaya ve imza anahtarlarını çalmaya çalıştı; ancak araştırmacılar bu ek saldırıların başarılı olup olmadığını belirleyemedi.

Yapay zekâ sinyalleri ve daha geniş yanıt

Dream, Claude Code kurulumları ve DeepSeek ile Kimi gibi Çin modelleriyle yapılandırılmış saldırı amaçlı güvenlik araçları da dahil olmak üzere kampanyada potansiyel yapay zekâ katılımı belirledi. Şirket faaliyeti belirli bir tehdit aktörüne atfetmedi, ancak dil istemleri, zaman damgaları ve coğrafi hedefleme nedeniyle kampanyanın Çin bağlantılı bir operasyonun parçası olduğuna inandığını söyledi. CISA aktif istismarı doğruladı ve federal kurumların 29 Ekim'e kadar azaltma önlemlerini uygulamasını emretti. Cybernews, 32.5 milyon PHP hizmetinin hâlâ savunmasız sürümlerde çalıştığını, bunların 10.3 milyonunun ABD'de olduğunu bildirdi; Amazon, kamuya açıklamadan dört gün önce, 17 Ekim'de PHP istismar girişimlerini tespit etti; Cloudflare ise duyurunun ardından milyonlarca saldırı girişimi gözlemledi.

Önceki haber: CISA, KEV Kataloğuna İki PHP2Shell RCE Açığını Ekledi

Kaynaklar: Cybernews