Siber güvenlik şirketi Dream’e göre, şüpheli Çin bağlantılı hackerlar, yeni ortaya çıkan PHP açıklıklarını kullanarak ABD hükümetine bağlı bir ağı ele geçirdi. Saldırı, birden fazla güvenlik kusurunun ağ savunmalarını aşmak ve hassas iç sistemlere erişim sağlamak için nasıl birleştirilebileceğini gösteriyor.
Araştırmacılar, 25 Ekim 2026’da, PHP2Shell olarak bilinen iki kritik PHP açığının kamuya açıklanmasından kısa bir süre sonra bu sızıntıyı keşfetti. CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen bu hatalar, her biri 10 üzerinden 9.2 şiddet puanına sahip ve saldırganların kimlik doğrulaması olmadan kötü amaçlı kod çalıştırmasına olanak tanıyabilir.
Saldırganların, PHP2Shell’i, CVE-2026-046300 olarak izlenen Fragnesia adlı Linux çekirdeği ayrıcalık yükseltme açığıyla birleştirdikleri bildirildi. Bu iki aşamalı yaklaşım, savunmasız firewall cihazlarına kök seviyesinde erişim sağlamalarını sağladı.
Dream’s investigation revealed kampanyanın kapsamlı keşifle başladığını belirtti. Saldırganlar, Amerika Birleşik Devletleri, Japonya, Tayvan ve Güney Kore genelinde yaklaşık 19.000 internete açık güvenlik duvarını taradı ve yaklaşık 240 savunmasız cihazı tespit etti. Bunlardan 24’ünün ele geçirildiği bildirildi.
Operasyon daha sonra kimliği belirsiz bir ABD hükümetine bağlı bir kuruluşa ait dahili bir güvenlik duvarı yönetim sunucusuna ulaştı. Araştırmacılar, saldırganların Active Directory kimlik bilgilerini elde ettiğine dair kanıtlar buldu; bu da ağ içinde daha fazla hareket etmesini mümkün kılabilir.
Ek faaliyetler arasında kullanıcı hesaplarının sayılması, birden fazla hesaba karşı şifre denemeleri ve gizli erişim mekanizmaları oluşturulması da vardı. Saldırganlar ayrıca kriptografik imzalama anahtarlarını aradı, ancak araştırmacılar bu sonraki girişimlerin başarılı olup olmadığını doğrulayamadı.
Başarılı müdahaleye rağmen, güvenlik açıklarını sömürmek teknik olarak zordu. Dream, uygun koşullarda bile yaklaşık %10’unun başarılı olduğunu, kısmen PHP kusurlarının hedeflenen yazılım sürümlerine özgü hassas bellek ofsetleri gerektirmesinden kaynaklandığını bildirdi.
Araştırmacılar ayrıca yapay zeka destekli faaliyet belirtileri ortaya çıkardı. Kurtarılan ortamda Claude Code kurulumları ve DeepSeek ile Kimi gibi Çin yapay zeka modellerini kullanmak üzere yapılandırılmış güvenlik araçları bulunuyordu. Ancak bulgular, yapay zekanın saldırılara ne kadar kapsamlı katkıda bulunduğunu tam olarak ortaya koymuyor.
Dream, Çin’in katılımından dil eserleri, operasyonel zamanlama ve hedeflerin coğrafi dağılımına dayanarak şüpheleniyor. Buna rağmen, şirket belirli bir hack grubu tespit etmedi ve devlet sponsorluğu hâlâ doğrulanmadı.
Olay, PHP2Shell’in yaygın şekilde sömürülmesi sırasında gerçekleşti. İnternet tarama şirketi Censys, potansiyel olarak savunmasız sürümler çalıştıran yaklaşık 32,5 milyon PHP hizmeti tespit etti; bunların 10,3 milyonu Amerika Birleşik Devletleri’nde gerçekleşti.