Zincirleme PHP2Shell açığı, ABD devlet sistemleri de dahil 25 sunucuda root erişimi sağladı

Ele geçirilen eksiksiz bir saldırı operasyonu

Dream'deki güvenlik araştırmacıları, ABD, Japonya, Tayvan ve Güney Kore'deki internete açık 25 güvenlik duvarı sunucusunda root erişimi sağlayan, üç makine ABD devletine bağlı bir ortamda olacak şekilde eksiksiz bir saldırı operasyonunun izlerini ele geçirdiklerini söylüyor. Dream'ın raporuna göre saldırgan, PHP2Shell adlı açığın özel bir derlemesini bir Linux kernel yetki yükseltme hatasıyla birleştirerek, kimlik bilgisi olmadan internete açık güvenlik duvarlarının tam kontrolünü ele geçirdi ve ardından hedef kuruluşun Active Directory alanına geçti.

Dream'ın otonom siber araştırma ürünü Hero ile yürütülen araştırma, 25 Ekim'de ortaya çıkarılan bulgulara dayanıyor. Ele geçirilenler arasında hedef listeleri, sömürü günlükleri, yaklaşık 40 özel post-exploitation betiği ve sürüm başına exploit parametrelerini içeren 11 JSON dosyası vardı. Dream, etkilenen cihazların büyük bir güvenlik duvarı üreticisinin belirli yazılım sürümlerini çalıştırdığını; üreticinin bilgilendirildiğini ve adının açıklanmadığını belirtiyor.

Tek HTTP isteği, iki exploit

Rapora göre saldırgan, iki zafiyeti — birlikte PHP2Shell olarak adlandırılan CVE-2026-109618 ve CVE-2026-109619 — güvenlik duvarının appweb yönetim sunucusunun kullandığı PHP 8.0.30 runtime'ına karşı zincirledi. Teknik, PHP'nin session.upload_progress mekanizmasını dört aşamada suistimal ediyor. Toplamda yaklaşık 383MB'lık özenle hazırlanmış multipart yüklemeler belleği tüketerek allocator'ı öngörülebilir bir duruma sokuyor; sahte bir session tanımlayıcısı daha sonra sınır dışı okumayı tetikleyerek libphp.so'nun temel adresini sunucunun Set-Cookie yanıtı üzerinden sızdırıyor; 500MB'a yakın ikinci bir bellek baskısı dolaşık bir dahili session referansı bırakıyor; ve son bir istek, yıkıcı callback'i zif_system'ı işaret eden sahte bir PHP HashTable girdisi yerleştiriyor; böylece PHP'nin temizlik rutini, saldırganın seçtiği bir shell komutunu nobody kullanıcısı olarak çalıştırıyor.

Nobody olarak kod çalıştırmak hâlâ SELinux tarafından kısıtlanıyor; bu yüzden ikinci bir hata zincire eklendi: Dream'ın Fragnesia adını verdiği CVE-2026-46300, XFRM ESP-in-TCP alt sistemindeki bir kernel hatası. Sayfa önbelleği (page cache) yazmalarını kullanarak /etc/pam.d/su dosyasının üzerine yazıyor — yalnızca 774 bayt olan bu dosya, splice yöntemiyle bayt bayt yazılıyor — ve herkesi kabul eden bir kimlik doğrulama kuralı yerleştiriyor; bunun ardından su root parolasız başarılı oluyor. Dream, her iki exploit'in tek bir son HTTP isteği içinde tetiklendiğini ve kimlik doğrulamasız HTTPS bağlantısından kalıcı bir root webshell'e kadar tüm dizinin 15 dakikadan kısa sürdüğünü söylüyor.

On bir sürüm için sürüm profilleri

Exploit her hedefe rastgele ateşlenemiyor. Güvenlik duvarı işletim sistemi sürümleri arasında değişen bellek ofsetlerine bağlı — zif_system'ın adresi, HashTable yapı boyutları ve heap-spraying parametreleri — bu yüzden saldırgan, her sürümün libphp.so ikilisinden çıkarılan ofsetleri, SHA256 karma değerleri ve ELF build ID'leriyle birlikte içeren 11 JSON profili tuttu. Bir PHP 8.0.30 profili canlı bir sanal makineye karşı tam olarak kalibre edilmişti; sekiz tanesi ise geçiciydi, ofsetler ikililerden türetilmişti ama çalışan örneklerde doğrulanmamıştı. Daha eski bir PHP 7.4.33 dalı için hazırlanan iki geçici profil laboratuvarda kod çalıştırma başardı, ancak tam zincir orada hiç kalibre edilmedi. Kampanyaya sömürülebilir dokuz sürüm dâhil edildi.

19.000 cihazdan 25 ele geçirilmiş sunucuya

Dream net bir hedefleme hunisi tanımlıyor. Saldırgan, Shodan'a benzer bir Çin internet varlığı arama motoru olan FOFA'yı kullanarak hedef üreticinin internete açık yaklaşık 19.000 güvenlik duvarını tespit etti. 200 eşzamanlı iş parçacığı çalıştıran özel bir tarayıcı bunların yaklaşık 5.000'inin canlı olduğunu buldu ve sürümlerini parmak iziyle belirledi. Coğrafyaya — ABD, Japonya, Tayvan ve Güney Kore — ve exploit uyumluluğuna göre filtreleme listeyi 240 hedefe indirdi; bunların 25'i sonuçta sömürüldü.

Root erişimi sağlandıktan sonra saldırgan, ABD devletine bağlı ortamdaki üç sunucuya odaklandı. Ele geçirilen bulgular kimlik bilgisi çıkarma ve Active Directory sayımı doğruluyor; Dream, operasyonun kuruluşun iç AD alanına kalıcı erişimle sona erdiğini söylüyor. Rapordaki zaman çizelgesi 8 Ekim'deki laboratuvar kurulumundan 24 Ekim'deki sömürü ve post-exploitation faaliyetlerine kadar uzanıyor.

Yapay zekâ destekli araçların izleri

Saldırı altyapısında Claude Code'un kurulu olduğu, DeepSeek ve Kimi Çin modelleriyle yapılandırılmış aiscan adlı yapay zekâ destekli bir saldırı güvenliği platformu ve FOFA API anahtarları bulundu. Dream sonuç konusunda temkinli: yapay zekâ araçlarının exploit'i veya post-exploitation betiklerini yazdığına dair doğrudan kanıt yok, ancak kod yapısı, yorumlama tarzı ve yaklaşık 40 betik genelindeki tutarlılık yapay zekâ destekli geliştirmeye işaret ediyor. Şirket, operasyonun tamamen otonom bir devlet destekli saldırı gibi görünmediğini de ekliyor.

Neden önemli

Olay, internete açık bir yönetim arayüzünün kuruluşun kimlik katmanına nasıl bir kapıya dönüşebildiğini gösteriyor: tek bir kimlik doğrulamasız istek, ön kapıda çalınmış kimlik bilgisi yok ve dakikalar içinde Active Directory'ye doğrudan geçiş yapan bir root shell. Savunmacılar, özellikle devlet ortamlarında, Dream'ın dersi şu: savunmasız sistemleri bulmak yalnızca başlangıç noktası — daha zor iş, başarılı bir ele geçirmenin mümkün kıldığı erişimi anlamak ve kontrol altına almaktır. Bulgular, operasyon insan yönlendirmeli olarak kalsa bile, yapay zekâ yardımıyla oluşturulmuş saldırı araçlarına dair erken ve somut bir bakış da sunuyor.