Wiz: PHP2Shell'un açıkta çalışan sistemleri yüzde 67 azalırken sahada başarılı sömürü görülmedi

PHP2Shell açıklarının ifşa edilmesinin üzerinden bir hafta geçtikten sonra Wiz, saldırganlar etkin biçimde denese de sahada tek bir başarılı sömürü gözlemlemediğini bildiriyor. Şirketin telemetrisi ayrıca, 21 Ekim 2026'da kamuya açık şekilde ifşa edilmesinin ardından CVE-2026-109618 ve CVE-2026-109619 olmak üzere iki açığa maruziyetin hızla azaldığını gösteriyor.

Maruziyet hızla düşüyor

Wiz'e göre, PHP2Shell'a savunmasız internete açık makinelerin günlük sayısı, ifşadan bu yana geçen günlerde yaklaşık yüzde 67 düştü. En az bir açık ve savunmasız örneği bulunan kuruluşlar olarak tanımlanan, ciddi şekilde etkilenen kuruluşların sayısı yaklaşık yüzde 47,9 azaldı; böylece başlangıçta etkilenen kuruluşların yüzde 53'ten azı bir hafta sonunda hâlâ savunmasız durumda.

Wiz ayrıca, savunmasız açık makineler arasında resmi güvenlik backport'u almayan PHP 7.3 ve öncesini çalıştıranların payının beş gün içinde yüzde 8,3'ten yüzde 5,7'ye düştüğüne dikkat çekiyor. Bağlam olarak, şirketin verileri veri setindeki kuruluşların yüzde 65'inde PHP kullanıldığını gösteriyor. Wiz, genel düşüşü yamalama, yükseltme, etkilenen makineleri emekliye ayırma ve internet erişimini kısıtlama kombinasyonuna bağlıyor; ancak rakamlarının her bir yaklaşımın ne kadar katkı sağladığını göstermediği konusunda uyarıda bulunuyor.

Saldırganlar deniyor ama zincir kopuyor

Wiz, açık kaynak bir exploit kitinin iki varyantından gelen denemeleri yakaladı ve hiçbiri exploit zincirini tamamlayamadı. İlk olarak 3.37.227.134 IP'sinden bir PHP-CGI honeypot'una saldıran eski, legacy varyant, 1.005 parçalı ve yaklaşık 12 MB dolgu içeren bir multipart isteği gönderdi. Bu, honeypot'un 8 MB'lık post_max_size sınırını aştığı için PHP isteğin gövdesini hiç işlemedi. 103.151.172.95 adresinden bir Roundcube honeypot'una yapılan sonraki bir deneme, Apache worker'larını meşgul etmek için bağlantıları açık tuttu ve her biri 3.000 baytlık 1.001 alan içeren heap şekillendirme istekleri gönderdi; ancak exploit'in gerektirdiği bellek tükenmesi koşulunu hiç tetikleyemedi.

Daha yeni varyant daha ileri gitti. İlk aşaması, null-byte'lı bir session ID ve derin iç içe dizi adları kullanan 860 boş dosya parçası içeren chunked bir multipart isteğiydi; bu istek tutarlı biçimde PHP'nin belleğini tüketti ve yakalanan her istek bir HTTP 500 ve bellek sınırı hatası döndürdü. Ardışık isteklerin aynı Apache worker'ına düşme olasılığını artırmak için kit, diğer worker'ları tamamlanmamış bağlantılarla açık tutuyor; bir VPN çıkış düğümü olan 178.249.214.6 adresi, exploit aşamalarını göndermeden önce 400 GET isteğinin yanı sıra 399 böyle bağlantı açtı.

Yaklaşık bir saniye sonra gönderilen sızıntı aşaması ise Wiz'in yakaladığı her denemede başarısız oldu. Bu aşama, PHP'nin geri kazanılan heap içeriklerini bir PHPSESSID yanıt cookie'sine yazmasını sağlayacak şekilde tasarlanmış; kit, son aşamaya hazırlanmak için bundan heap ve libphp adreslerini çıkarıyor. Gözlemlenen denemelerin tamamından birinde bağlantı yanıt almadan kapandı, kalan tek deneme ise normal 32 karakterlik bir session cookie döndürdü. Hiçbir kaynak son exploit aşamasını göndermedi. Wiz ayrıca PHP2Shell adını taşıyan ancak bu açıklarla ilgisi olmayan, bunun yerine session poisoning ve ayrı bir local file inclusion açığına dayanan araçlar gözlemledi.

Kamuya açık exploit'ler neden tıkanıyor

Wiz'e göre, PHP sürümleri ve dağıtım yapılandırmaları arasında güvenilir biçimde çalışan bir exploit geliştirmek zor. Kit'in sızıntı aşaması 128 MB bellek sınırıyla resmi php:8.4.26-apache imajı için hesaplanmıştı; Roundcube honeypot'u ise aynı PHP sürümünü farklı bir derlemeden, ek extension'lar ve 64 MB'lık bir sınırla çalıştırıyordu; bu farklar heap düzenini ve bellek yeniden kullanımını etkiliyor. Worker sabitleme başka bir engel daha ekliyor: Ardışık istekler, eski session durumu kalıcıyken aynı Apache child sürecine ulaşmalı ve timeout'lar, gecikme ve worker kullanılabilirliği diziyi bozabilir. Wiz'in kendi testlerinde, istek timeout'larının ağ gecikmesiyle birleşmesi, zincirin bir internet bağlantısı üzerinden tamamlanmasını durdurmaya yetti.

Bu, açıkların sömürülemeyeceği anlamına gelmiyor. Wiz, ortaklarının çeşitli hedeflere karşı çalışan exploit'leri özel olarak ifşa ettiklerini ve şirketin kendi başarılı sömürüsünü gösterdiğini söylüyor.

Neden önemli

Çalışan, genel amaçlı bir kamuya açık exploit'in yokluğu savunmacılara alışılmadık ölçüde temiz bir yamalama penceresi verdi ve açık makinelerdeki yüzde 67'lik düşüş birçok kuruluşun bu pencereyi kullandığına işaret ediyor. Ancak Wiz teknik engellerin zamanla azalmasını bekliyor ve çalışan exploit'ler zaten özel ellerde mevcut. Hâlâ açık ve yamalanmamış bir PHP örneği çalıştıran herhangi bir kuruluş için güvenli varsayım, başarısız bir kamuya açık proof of concept ile güvenilir bir saldırı kiti arasındaki boşluğun kapanmakta olduğudur.