Bir hacker, 2.000 dolarlık bitcoin yemli PHP sunucusunu PHP2Shell ile 19 saatte kırdı

Yamaları yüklenmemiş bir PHP kopyasıyla çalışan ve içine yem olarak bitcoin cüzdan anahtarı bırakılan sunucu, bir günden az dayanabildi. KillaBoi takma adını kullanan bir araştırmacı, web’in büyük bölümüne güç veren dildeki iki kritik açıktan oluşan PHP2Shell üzerinden sisteme sızdı ve anahtarı ele geçirdi. Aynı hafta sonunda, Perplexity’de bir güvenlik yöneticisinin işlettiği tuzak sunucu da bir saldırganın gerçek bir sunucuda aynı şeyi yaptığını kaydetti. Böylece bu açıkların kullanılmasının fazla zahmetli olduğu yönündeki rahatlatıcı teori de geçerliliğini yitirdi.

Bu durum, web sitesi işleten herkesi ve verileri bir web sitesinde tutulan herkesi ilgilendiriyor. PHP; WordPress, Drupal, Joomla ve paylaşımlı barındırma hizmetlerinin çoğunun temelinde yer alıyor. Bu açıklar, herhangi bir hesabı olmayan birinin sunucuda komut çalıştırmasına imkân verebiliyor. Düzeltmeler yayımlandığından beri beklemek için öne sürülen başlıca gerekçe, kamuya açık saldırı girişimlerinin başarısız olmasıydı. Her iki sonuç da bu gerekçeyi geçersiz kılıyor.

Steal My Bitcoin adlı meydan okuma, kendine ait web sitesinde yayımlandı ve bir forum gönderisiyle duyuruldu. cloudlandsdev adıyla paylaşım yapan yaratıcısı şöyle yazdı: “Bunu, dışarıdan birinin bu PHP RCE açığını gerçekten nasıl kullanacağını çözüp çözemediğini merak ettiğim için hazırladım; son birkaç gündür panik içindeydik. İyi eğlenceler!” Ödül havuzu yaklaşık 502 dolarla başladı; bağışlarla 0.02511679 BTC’ye, yani hak talebinde bulunulduğu sırada 2.021,22 dolara ulaştı. Tom’s Hardware’a göre ödül, yayına girdikten yaklaşık 19 saat sonra alındı. Denemeler yapanların yarattığı trafik sunucuyu çökertti; depolama alanının sınırlı olması nedeniyle tüm günlükler de saklanamadı.

KillaBoi daha sonra GitHub’da bir kavram kanıtı yayımladı. WordPress güvenlik şirketi Wordfence’in kurucusu Mark Maunder, saldırının ne kadar hassas bir çalışma gerektirdiğine dikkat çekerek yazıyı “#php2shell açığının istismar edilmesinin ne kadar zor olduğunu anlatan, görebileceğiniz en iyi açıklama” diye nitelendirdi. Anlaşılan o ki zor olması, yavaş olacağı anlamına gelmiyordu.

Daha kaygı verici sonuç ise meydan okumanın dışından geldi. Perplexity’de tespit ve müdahale çalışmalarının başındaki Adel Karimi, tuzak sunucularının PHP 8.4.26 çalıştıran bir Apache sunucusuna yönelik doğrulanmış bir uzaktan kod yürütme saldırısı yakaladığını söyledi. BleepingComputer’ın aktardığına göre Karimi, “Bu artık kullanılabilir bellek ifşası içeren, doğrulanmış bir uzaktan kod yürütme vakası; ardından şüpheli bir sürecin geldiği basit bir çökme değil,” diye yazdı. Başarılı saldırı iddialarını takip eden Expel tehdit araştırmacısı Marcus Hutchins ise bunu “şimdiye kadar gördüğüm, gerçek dünyada gerçekleşen php2shell istismarına dair açık ara en güçlü doğrulama” olarak değerlendirdi. O zamana dek Cloudflare, watchTowr, Patchstack ve diğer güvenlik şirketleri yalnızca başarısız girişimler kaydetmişti. Amazon’un tehdit istihbarat ekibi ise yamalar yayımlanmadan dört gün önce tarama faaliyetlerinin başladığını görmüştü.

Bu sonuçların hiçbiri, yama yüklenmemiş her sunucunun yarın ele geçirileceği anlamına gelmiyor. KillaBoi’nin kurtardığı anahtar, sitenin duyurduğu cüzdan adresiyle eşleşmedi. Cointelegraph’a göre organizatör bunun bir kurulum hatası olduğunu söyledi ve fonların aktarılacağını belirtti. Güvenlik sitesi Cyberpress de kamuya açık kanıtların ödülün çalındığını değil, bir anahtarın ele geçirildiğini gösterdiğine dikkat çekiyor. Yayımlanan istismar kodu ayrıca PHP’nin belirli bir derlemesine göre ayarlanmış durumda ve aynı sürümün diğer derlemelerinde çalışmıyor; dolayısıyla tek tıkla kullanılabilecek bir araç değil. Artık savunma olarak öne sürülemeyecek tek şey, kimsenin bu açığı çalıştırmayı başaramamış olması.

Açıkların etkisi küresel çapta. Cointelegraph’ın haberine göre Hollanda, Avustralya, Japonya ve Finlandiya’daki devlet kurumları, yamalar hazırlanırken kritik web sitelerini çevrimdışı bıraktı. Güvenlik şirketi Mallory’nin Shodan verileri üzerinden yaptığı sayımda, artık resmî düzeltme almayan bir PHP sürümünü duyuran ve internete açık yaklaşık 884.000 ana bilgisayar bulundu. Notebookcheck’e göre bu sayı, PHP sürümünü bildiren yaklaşık 1,5 milyon sunucunun yüzde 59’una karşılık geliyor. Bunlar doğrulanmış mağdur sayıları değil, sunucu başlıklarından yapılan sayımlar; çünkü Linux dağıtımları eski paketleri, sürüm numarasını değiştirmeden yamalayabiliyor.

Site sahipleri için yapılması gereken değişmedi. CVE-2026-109618 ve CVE-2026-109619 için 21 Ekim’de yayımlanan yamalı sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Her iki açığa da 10 üzerinden 9,2 önem derecesi verildi. Paylaşımlı barındırma hizmetlerinde güncelleme, WordPress ya da eklenti güncellemesiyle değil, barındırma sağlayıcısı tarafından yapılır. Bu nedenle sağlayıcınıza soracağınız en yararlı soru, sitenizin hangi PHP derlemesini kullandığı ve bu derlemenin ne zaman yamalandığıdır. ABD siber güvenlik kurumu CISA, güncelleme yapamayan ya da hâlâ PHP 8.1 veya daha eski bir sürüm kullanan kuruluşlara, güncelleme yapana kadar bu sistemleri çevrimdışı bırakmalarını söyledi.

Yeni bir sorun da şimdiden ortaya çıktı. PHP ekibi cuma günü, henüz yaması bulunmayan üçüncü bir uzaktan kod yürütme açığı CVE-2026-115560 için geçici bir çözüm yayımladı. Bu açık yalnızca “alışılmadık bir yapılandırma ve uygulama kodu bileşimine” sahip sistemleri etkiliyor. Düzeltme yayımlanana kadar PHP geliştiricileri, PHP2Shell yamalarından önce önerdikleri gibi session.upload_progress ayarının kapatılmasını tavsiye ediyor. PHP 8.2 için güvenlik desteği 31 Aralık 2026’da sona erecek; 8.1’den hiç ayrılmayan sunucuların ise destek süresi çoktan doldu.

Etiketler: siber güvenlik, bitcoin, Perplexity, PHP, PHP2Shell, WordPress