Çinli Korsanlar Güvenlik Duvarlarını 15 Dakikada Çökertti

Teorik risk nasıl çalışan bir silaha dönüştü?

Ekim ayı başında ortaya çıkan PHP2SHELL zaafı, güvenlik dünyasında garip bir rahatlama yaratmıştı. İnternet altyapısının yaklaşık yüzde 70'i PHP ile çalıştığı için ilk duyuruda panik havası esse de milyonlarca otomatik tarama gerçek sistemlerde başarılı bir ihlal üretemedi. ASLR (Adres Alanı Düzenleme Rastgeleleştirmesi) gibi bellek koruma mekanizmaları, açığın sahada istikrarlı biçimde kullanılmasını neredeyse imkansız kılıyordu.

Ancak bu rahatlama kısa sürdü. Siber güvenlik şirketi Dream, Çin merkezli gelişmiş bir tehdit grubunun zaafı güvenilir bir silaha dönüştürdüğünü belgeledi. Korsanlar, PHP2SHELL açığı ile mayıs ayında duyurulan Fragnesia (CVE-2026-46300) yerel yetki yükseltme hatasını zincirledi. Bu ikili kombinasyon, sistem korumalarını tamamen atlayarak saldırganlara hedef cihaz üzerinde doğrudan root yetkisi sağladı.

İnternete açık porttan Active Directory'ye 15 dakika

Saldırı dalgası 23 Ekim 2026 civarında ABD, Japonya, Tayvan ve Güney Kore'deki ağları hedef alarak başladı. Operatörler, yönetim arayüzleri kamuya açık internete doğrudan maruz bırakılmış eski PAN-OS sürümlerine sahip Palo Alto Networks donanımlarına odaklandı.

Hedef cihaza kimlik doğrulaması olmadan gönderilen tek bir web isteği ile kalıcı root arka kapılarının kurulması 15 dakikadan kısa sürdü. Dream'in adli bilişim verilerine göre, cihazı ele geçiren saldırganlar 40 farklı betik çalıştırarak doğrudan iç kurumsal alt ağlara tünel açtı, ikincil sunuculara ulaştı ve savunma ekipleri durumu fark edemeden Active Directory dizinlerini yağmalamaya başladı.

Ağ sınırındaki uç cihazların hedef alınması yabancı olduğumuz bir taktik değil; daha önce şirketlerin güvenlik kamerası yazılımı üzerinden yaşanan kurumsal ağ sızıntılarında da benzer yöntemler görmüştük. Ancak bir güvenlik duvarının yönetim konsolunun açık internete bırakılması affedilemez bir operasyonel hata.

Saldırıda yapay zeka ve yerel arama motorları devredeydi

Saldırı sonrası bırakılan izler, operasyonun otomatik botlar tarafından değil, gelişmiş ofansif araçlarla donatılmış uzman bir ekip tarafından yürütüldüğünü gösteriyor. Hedef sistemlerde Claude Code altyapısının yanı sıra DeepSeek ve Kimi gibi Çin menşeli büyük dil modelleriyle entegre çalışan ofansif güvenlik aracı AIscan tespit edildi.

Hedef belirleme süreci de oldukça planlıydı. Saldırganlar, Shodan benzeri Çin arama motoru FOFA üzerinden API taramaları yaparak küresel çapta internete doğrudan açık yaklaşık 19 bin Palo Alto Networks cihazını listeledi. Analistler, yerleştirilen kalıcı arka kapılar nedeniyle bu tehdit grubunun sızdığı birçok kamuya bağlı ağda halen erişimini koruyor olabileceğini vurguluyor.

Türkiye'de durum ne? Sistem yöneticileri ne yapmalı?

Türkiye'de özellikle telekom, finans ve kamu kurumlarına hizmet veren pek çok büyük ölçekli altyapıda Palo Alto Networks donanımları yaygın olarak kullanılıyor. Yerel ağ yöneticilerinin acilen dışa açık yönetim arayüzlerini denetlemesi gerekiyor; PAN-OS web yönetim konsollarının hiçbir koşulda genel internete açık kalmaması, mutlaka ayrılmış bir bant dışı (OOB) yönetim ağı veya güvenli VPN arkasına alınması şart.

Eğer Türkiye'deki bir kurumun güvenlik duvarı 23 Ekim'den bu yana güncellenmemiş ve yönetim portu internete açık kalmışsa, o sistemin çoktan ihlal edildiği varsayılmalı. Cihaz derhal ağdan izole edilmeli, hem PHP hem de Fragnesia yamaları uygulanmalı ve Active Directory loglarında olağan dışı oturum açma hareketleri geriye dönük incelenmeli.