Amazon PHP2Shell açığının resmi duyurudan önce istismar edildiğini tespit etti

Amazon Tehdit İstihbaratı ekibi, PHP2Shell güvenlik açığının kamuoyuna duyurulmasından dört gün önce istismar edilmeye çalışıldığını MadPot bal küpü verileriyle belirledi. Şirketin yayımladığı rapora göre, CVE-2026-109618 ve CVE-2026-109619 kodlu açıklara yönelik ilk saldırı girişimi 17 Ekim 2026 tarihinde ticari bir anonimleştirme ağına bağlı IP adresi üzerinden gerçekleşti. Güvenlik açığı henüz ambargo altındayken yapılan bu girişim, saldırganların teknik ayrıntılara resmi açıklamadan önce ulaştığını gösterdi.

PHP ekibinin 21 Ekim 2026 tarihinde ambargoyu kaldırmasından saatler önce çok sayıda kavram kanıtlama istismarı kaydedildi. Amazon araştırmacıları, aynı gün 02.00 ile 08.00 saatleri arasında MadPot sensörlerine farklı anonim altyapılardan ve değişen saldırı yükleriyle yeni saldırıların düzenlendiğini bildirdi. Güvenlik yaması ve teknik rapor yayımlandıktan sonra PHP2Shell genel çapta aktif olarak kötüye kullanılmaya başlandı. Saldırıların gerçek sistemlerde ne derece başarılı olduğu konusundaki teknik analiz ise devam ediyor.

Amazon analistleri, yapay zeka destekli analizlerin yama farklarını çalışan istismar kodlarına dönüştürme süresini dakikalara indirdiğini açıkladı. Güvenlik liderlerine internete açık sistemlerde yama takvimlerini saatler ölçeğinde planlama çağrısı yapıldı. Sistem yöneticilerinin olay incelemelerini kamuoyu duyuru tarihinden değil, 17 Ekim tarihinden itibaren başlatması gerektiği bildirildi. AWS ayrıca düzeltilmiş PHP sürümlerine geçiş yapılana kadar form yüklemelerindeki şüpheli oturum isteklerinin izlenmesini önerdi.