Selamlar,
PHP2Shell dalgası bitmeden PHP ekibi 23 Ekim'de yeni bir bilgilendirme yayımladı: CVE-2026-115560 olarak izlenen ve henüz yaması olmayan bir uzaktan kod çalıştırma riski. Aynı günlerde bir Mirai türevi olan Potassium botnetinin PHP2Shell istismarına katıldığı ve x86-64 sunucularda ASLR'yi atlatan çalışan bir PoC yayımlandığı da raporlandı. Bu konuda üç gelişmeyi tek yerde topluyorum.
Konuda anlatılacaklar
- CVE-2026-115560 kimleri etkiliyor?
- Geçici önlem: tek satırlık ayar
- Potassium botneti ve IOC'ler
- ASLR atlatan PoC ne anlama geliyor?
- Ölçek: rakamlarla PHP2Shell
- Sunucu yöneticisi için kontrol listesi
1. CVE-2026-115560 kimleri etkiliyor?
The Hacker News ve BleepingComputer'ın aktardığı PHP duyurusuna göre açık herkesi değil, belirli bir kod desenini kullanan uygulamaları ilgilendiriyor:
- Uygulama session.serialize_handler değerini önce php_binary veya php_serialize yapıyor,
- ardından session_start() çağrılmadan önce ini_set() ile tekrar php işleyicisine dönüyor,
- ve oturum yükleme ilerlemesi (session upload progress) açık.
2. Geçici önlem
Yama gelene kadar PHP'nin önerdiği önlem, oturum yükleme ilerlemesini kapatmak:
Kod:
; php.ini
session.upload_progress.enabled = 0Kod:
php -i | grep -i upload_progress
php-fpm8.3 -i 2>/dev/null | grep -i upload_progress
grep -rn "serialize_handler" /var/www --include=*.php3. Potassium botneti
SecurityWeek'e göre Sophos ve Arctic Wolf, PHP2Shell'i yayılmak için kullanan Potassium adlı bir Mirai türevi gözlemledi. Savunma tarafında işinize yarayacak göstergeler (The Hacker News / Sophos özeti):
Kod:
C2 IP : 134.199.154[.]64
C2 alan : thunder.godofthunder[.]st
Port : TCP 50792
Kaynak IP : 85.11.167[.]243 , 217.60.242[.]76 , 45.198.224[.]1694. ASLR atlatan PoC
SOCRadar, açık bir saldırgan sunucusunda PHP 8.4.26 mod_php hedefli aslr_exploit.py adlı bir betik buldu. VulnCheck'ten Spencer McIntyre da üretim ayarlarıyla çalışan x86-64 sistemlerde ASLR'yi atlatıp kod çalıştıran bir istismar geliştirdi. Pratik anlamı: "bellek rastgeleleştirmesi var, istismar zor olur" varsayımına güvenmeyin; yama tek gerçek çözüm.
5. Rakamlarla ölçek
- Cloudflare: istismar denemeleri ilk 45 dakikada on binlerden 22 Ekim'e kadar milyonlara çıktı.
- Censys: 23 Ekim itibarıyla 34,4 milyon PHP servisi savunmasız görünüyor.
- Qualys: PHP çalıştıranların yaklaşık yüzde 71'i (yaklaşık 110 milyon) desteği bitmiş 5.4 ile 8.1 arası sürümlerde.
- İngiltere'de 32 kamu servisi önlem amaçlı erişime kapatıldı; NCSC yaklaşık 50.000 uyarı gönderdi.
6. Kontrol listesi
- PHP2Shell yamasını uygulayın (8.5.12 / 8.4.27 / 8.3.36 / 8.2.35).
- session.upload_progress.enabled = 0 yapın ve her SAPI için doğrulayın.
- Desteği bitmiş PHP sürümlerini planlı şekilde güncel bir dala taşıyın.
- Web sunucusu ve DNS günlüklerinde yukarıdaki IOC'leri arayın.
Sunucularınızda session.upload_progress kapatınca bozulan bir özellik oldu mu?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar