Singapur CSA: Güvenlik duvarı yönetim arayüzlerinde PHP açıkları zincirlenerek root ele geçiriliyor

Aktif istismar bildirildi

Singapur Siber Güvenlik Ajansı (CSA), 3 Kasım 2026'da yayınladığı AL-2026-157 numaralı uyarıda, bir dev.to özetine göre, güvenlik duvarları ve diğer güvenlik cihazlarına yönelik iki PHP zafiyetinin aktif olarak istismar edildiğini bildirdi. Topluca PHP2Shell olarak izlenen açıklar (CVE-2026-109618 ve CVE-2026-109619), etkilenen PAN-OS sürümlerini çalıştıran Palo Alto Networks güvenlik duvarlarının internete açık yönetim arayüzlerine karşı istismar edildi. Uyarıya göre başarılı olan uzaktan bağlanan, kimlik doğrulaması yapılmamış bir saldırgan rastgele kod çalıştırma gerçekleştirebiliyor; bu da yetkisiz erişime ve sistemin tamamen ele geçirilmesine yol açabiliyor.

Dikkat çekici olan kısım kurban grubu. Bunlar PHP web uygulamaları değil; korudukları ağların önünde duran, yönetim konsolları tesadüfen PHP ile inşa edilmiş güvenlik cihazları.

Kod çalıştırmadan root'a

Uyarıya göre saldırganların ilk erişimin ötesine geçtiği bildiriliyor. Bildirilen kampanyalar, ele geçirilen cihazda root yetkileri elde etmek ve ağ içinde hareket etmeye devam etmek için PHP2Shell'i ayrı bir Linux kernel yetki yükseltme açığı olan, Fragnesia lakaplı CVE-2026-46300 ile zincirliyor. Uyarı, zincirleme saldırıyı tanımlayan üçüncü taraf bir olay incelemesi de dahil olmak üzere kamuya açık raporlara atıfta bulunuyor; dev.to yazısı bu üçüncü taraf iddiaların bağımsız olarak doğrulanmadığını, uyarının kendisinin de "bildirildi" gibi temkinli ifadeler kullandığını belirtiyor.

İlk açığın kimlik doğrulaması gerektirmemesi önemli: saldırıyı başlatmak için hesap, oturum, kimlik bilgisi veya kullanıcı etkileşimi gerekmiyor.

Etkilenen ürünler

CSA birden fazla satıcının etkilenen ürünlerini listeliyor ve listenin eksiksiz olmadığını belirterek operatörleri tam resim için satıcı uyarılarına yönlendiriyor:

• Palo Alto Networks: Etkilenen PA-Series ve VM-Series güvenlik duvarlarındaki PAN-OS ve ayrıca Panorama
• Cisco: Duo Access Gateway ve Expressway Series dahil seçili ürünler
• Citrix: NetScaler ADC ve NetScaler Gateway
• F5: BIG-IP APM ve BIG-IP Configuration utility
• Siemens: RUGGEDCOM APE1808
• Fortinet: FortiSOAR ve FortiSOAR PaaS

Ortak nokta, işletim sistemlerine ve müşteriye dönük web uygulamalarına odaklanan envanterlerde sıkça kaydedilmeyen paylaşımlı bir PHP bağımlılığı.

Önerilen eylemler

Uyarının savunmacılara yönelik rehberi dört bölümden oluşuyor:

1. Dağıtılan ürünlerin etkilenip etkilenmediğini belirlemek için satıcı uyarılarını inceleyin ve mevcut güvenlik güncellemelerini derhal uygulayın.
2. Yönetim arayüzlerini ve yönetim hizmetlerini güvenilir ağlarla ve yetkili yöneticilerle sınırlandırın.
3. Potansiyel olarak ele geçirilmiş sistemleri yetkisiz erişim, yetki yükseltme, kalıcılık ve diğer kötü niyetli etkinlik belirtileri açısından inceleyin.
4. Güncel bilgi için satıcı uyarılarını izlemeye devam edin; temeldeki zafiyetleri daha ayrıntılı ele alan önceki PHP2Shell uyarısı (AL-2026-151) mevcut.

Bunlar arasında, yamalama geciktiğinde bile geçerli olan önlem yönetim erişimini kısıtlamaktır: dışarıdan kimsenin erişemediği bir konsol, güncelleme gelmeden önce bile çok daha az istismar edilebilir.

Kaynaklar hakkında bir not

Bu özeti taşıyan dev.to yazısı, insan düzenlemesi olmadan bir yapay zeka ajanı tarafından yazıldığını ve tüm bilgilerinin tek bir CSA uyarısından geldiğini açıklıyor. Operasyon ekipleri bu nedenle birincil kaynak olarak CSA uyarısı ve atıfta bulunduğu satıcı uyarılarıyla çalışmalı.

Neden önemli

Bir güvenlik duvarı ayrıcalıklı bir konuma sahiptir: politikaları uygular, uzaktan erişimi sonlandırır ve genellikle iç ağ trafiğine dair kimlik bilgileri ve görünürlük taşır. O cihazda root olması, çevre kontrolünün fiilen saldırganın lehine çalıştığı ve arkasındaki her ağın erişilebilir hale geldiği anlamına gelir. Olay ayrıca sıradan bir web runtime'ındaki bir açığın ne kadar büyük bir etki alanı yaratabileceğini gösteriyor; çünkü PHP, tipik envanterlerin kaydettiğinden çok daha fazla cihazın içinde geliyor. Son olarak, rehberdeki en eski ve en gösterişsiz kontrolü vurguluyor: yönetim arayüzleri asla açık internetten erişilebilir olmamalı. Etkilenen listedeki herhangi bir şey çalıştıran ekipler için satıcı uyarılarını kontrol etmek ve yönetim erişimini kapatmak acil adımlar.