Amazon, açıklamadan dört gün önce honeypotlarında PHP2Shell sömürüsünü yakaladı

Amazon'un tehdit istihbaratı ekibi, PHP2Shell açıklarını sömürme girişimlerini 17 Ekim 2026'da, yani CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen açıkların kamuya açıklanmasından dört gün önce honeypot ağında tespit ettiğini söylüyor. AWS Security Blog'a göre bu açıklar şu anda sahadaki sistemlerde yaygın olarak sömürülüyor.

Sömürü, duyurudan önce başladı

İlk sömürü girişimi 17 Ekim'de Amazon'un honeypot ağı MadPot'un telemetrisinde ortaya çıktı. Blog yazısına göre girişim, ticari bir anonimleştirme hizmetiyle ilişkili bir IP adresinden geldi. Açıklar o sırada hâlâ ambargo altında olduğundan Amazon, bir tehdit aktörünün sömürü bilgilerine açıklamadan önce sahip olduğu sonucuna varıyor; ancak şirkete göre bu bilginin nasıl elde edildiği hâlâ belirsiz.

PHP açıklarına uygulanan ambargo 21 Ekim saat 14:00 UTC'de kaldırılacaktı. Yayın gününde Amazon, birden fazla proof-of-concept sömürü tespit ettiğini, en erken olanının ise saat 02:00 UTC civarında, yani ambargonun bitiminden yaklaşık on iki saat önce ortaya çıktığını bildiriyor. 02:00 ile 08:00 UTC arasında, ek anonimleştirilmiş altyapılardan MadPot sensörlerine yeni sömürü girişimi geldi. Payload'lar ve anonimleştirme hizmetleri girişimler arasında farklıydı; Amazon bunu tek bir grup yerine birden fazla farklı aktörün işareti olarak değerlendiriyor.

Sömürücüler yamanın yayınlanmasından saatler sonra ortaya çıktı

Şirketin bildirdiğine göre ambargo kalkıp yamalı PHP sürümleri yayınlanır yayınlanmaz, yeni proof-of-concept sömürücüler saatler içinde ortaya çıktı ve neredeyse hemen Amazon'un sensörlerine karşı kullanıldı. Teknik analiz sürüyor ve Amazon, gözlemlenen girişimlerden herhangi birinin gerçek sistemlerde başarılı olup olmayacağının belirsiz olduğunu belirtiyor.

Amazon'un iki dersi

Amazon olaydan iki daha geniş çıkarım yapıyor. Birincisi, bir embargo savunmacıları yalnızca başkası aynı hatayı bağımsız olarak bulana dek korur: Şirketin görüşüne göre koordineli açıklama doğru model olmaya devam ediyor, ancak savunmacılar kamuya açık açıklama tarihini olası en erken sömürü tarihi olarak varsaymamalı. PHP2Shell için ele geçirmeler duyurudan önce gerçekleşmiş olabilir.

İkincisi, yamadan çalışan sömürüye geçen süre yapısal nedenlerle kısalıyor. Amazon'a göre geçmişte sömürünün büyük kısmı, herkese açık bir proof of concept yayınlandıktan sonra gerçekleşiyordu; az sayıda yetkin aktör sömürü geliştiriyor, diğer herkes onları bekliyordu. Bu bağımlılık zayıflıyor. Yapay zekâ destekli analiz, bir yama farkını ya da duyuruyu çalışan bir sömürüye dönüştürmeyi daha ucuz hale getiriyor ve daha fazla aktörün açıklamadan sonraki saatler, hatta dakikalar içinde harekete geçmesini sağlıyor.

Güvenlik ekipleri için Amazon'a göre bu, birkaç çalışma varsayımını değiştiriyor: İnternete açık kritik açıklar için yama ve hafifletme süreleri 7 veya 30 günlük SLA ile değil, saat cinsinden ölçülmeli; soruşturmalar duyuru tarihinden değil, bilinen en erken sömürü tarihinden — bu vakada 17 Ekim — başlamalı; ve tespit yatırımları belirli bir CVE imzasına bağlı olmamalı, çünkü ilk sömürü çoğu zaman bu imzalar var olmadan geliyor. Amazon, dakikada 200 milyardan fazla olayı analiz eden iç tehdit istihbaratı sisteminin, bu açığı hedefleyen kötü amaçlı tarama girişimlerini otomatik olarak tespit edip engellediğini de ekliyor.

Önerilen eylemler

Amazon'a göre her iki CVE için de tam çözüm, yamalı PHP sürümlerine yükseltmek; her iki sorunu da tamamen giderecek yalnızca yapılandırmaya dayalı bir geçici çözüm bulunmuyor. Hemen yamanamayan dağıtımlar için blog, çok parçalı (multi-part) dosya yüklemelerini engellemeyi düşünmeyi öneriyor; ancak bunun uygulamada neyi bozacağı önce kontrol edilmeli.

Tespit tarafında Amazon, form yüklemelerinde PHP_SESSION_UPLOAD_PROGRESS dizgesi içeren POST isteklerine bakılmasını, şüpheli etkinlik için web sunucusu loglarının incelenmesini ve web uygulama sunucularında beklenmedik süreç yürütme ya da dosya değişikliklerinin kontrol edilmesini öneriyor. Şirket, yamalama sırasında maruziyeti azaltmak için AWS WAF kullanımına ilişkin ayrı bir yazı da yayınladı.

Amazon'un blogu, etkinlikte gözlemlenen altı IP adresini listeliyor — biri 17 Ekim'de, beşi 21 Ekim'de — ancak bu adreslerin paylaşımlı anonimleştirme altyapısına ait olduğunu ve yalnızca bu kampanyaya özgü olmadığı konusunda uyarıyor; kuruluşlar bu adresleri basitçe engellemek yerine onlarla ilgili her gözlemi soruşturmalı.

Neden önemli

Bu, savunmacıların uyarıldığı bir eğilim için somut bir veri noktası: Saldırganlar artık herkese açık proof-of-concept kodunu beklemiyor ve bir açığa dair özel bilgi, açıklamadan çok önce ortaya çıkabiliyor ya da bağımsız olarak yeniden keşfedilebiliyor. İnternete açık PHP çalıştıran herkes için pratik sonuçlar acil: Saatler içinde yamalayın, günler içinde değil; ve logları incelerken olası en erken ele geçirme tarihi olarak 21 Ekim'i değil 17 Ekim'i baz alın. Yapay zekâ boyutu daha kaygı verici olan kısım — eğer bir yama farkını çalışan bir sömürüye dönüştürmek ucuzlamaya devam ederse, her büyük açıklamadan sonraki koşuşturma yalnızca yoğunlaşacak ve imza tabanlı savunmalar her seferinde çok geç ulaşacak.