GÜVENLİK VE BT BÜLTENİ · SAYI 3

Güvenlik Bülteni 20–28 Ekim 2026: PHP2Shell, Node2Shell ve Fidye Yazılımında Q3 Rekoru

Technodus Ekibi 20–28 Ekim 2026

Bu hafta PHP çalıştıran her kurumu ilgilendiren PHP2Shell, yayımlanmasından üç gün sonra gerçek saldırılarda kullanılmaya başladı. Aynı hafta Brotli sıkıştırma kütüphanesindeki Node2Shell açığı da aktif istismar listesine girdi. Fidye yazılımı tarafında üçüncü çeyrek rakamları yılın en yüksek seviyesini gösteriyor.

Bu hafta öncelikli 3 adım

  1. PHP sürümlerini 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 seviyesine çıkarın; güncellenemeyen sunucular için WAF’ta istek boyutu ve multipart sınırları koyun.
  2. Node.js, .NET ve Brotli kullanan HTTP bileşenlerinde üretici güncellemelerini uygulayın, ardından süreçleri yeniden başlatıp container imajlarını yeniden oluşturun.
  3. Fidye yazılımına karşı yedeklerin çevrimdışı kopyasını ve yanal hareket tespitini bu ay test edin.
Aktif istismarÖnem: Kritik

PHP2Shell: kimlik doğrulamasız uzaktan kod çalıştırma, KEV listesinde

PHP, 21 Ekim’de CVE-2026-109618 ve CVE-2026-109619 numaralı iki kritik açığı (CVSS 9.2) duyurdu ve 8.5.12, 8.4.27, 8.3.36, 8.2.35 sürümleriyle düzeltti. Birincisi bellek yetersizliği hatası sırasında yarım başlatılmış istek verisinin temizlenmesinden, ikincisi önceki istekten kalan serbest bırakılmış belleğe erişimden kaynaklanıyor. İkisi de tek bir web isteğiyle sunucuda kod çalıştırmaya imkân veriyor.

24 Ekim’de bal küpü sistemlerde başarılı kod çalıştırma doğrulandı; ABD siber güvenlik ajansı CISA 26 Ekim’de iki açığı Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi. 23 Ekim’de duyurulan üçüncü açık CVE-2026-115560 (oturum yükleme ilerlemesi) için henüz yama yok; PHP kod çalıştırma ihtimalini düşük görüyor.

Kimi etkiliyor?

PHP 7.4–8.5 çalıştıran web sunucuları, paylaşımlı hosting ve PHP tabanlı iç uygulamalar. Desteği bitmiş 7.4, 8.0 ve 8.1 için yalnızca dağıtım/üretici yamaları geçerli.

Ne yapmalı?

  • Envanterdeki tüm PHP sürümlerini çıkarın; düzeltilmiş sürüme geçin.
  • Geçiş tamamlanana kadar WAF/IPS’te PHP2Shell imzalarını engelleme modunda çalıştırın, istek boyutu ve alan sayısı sınırlarını düşürün.
  • CVE-2026-115560 için geçici önlem olarak session.upload_progress.enabled = 0 ayarını değerlendirin.

Technodus ne öneriyor?

Picus Threat ID 60730

Picus Threat Library’deki “PHP Php2Shell RCE Campaign” simülasyonu, istismar trafiğini WAF ve IPS’inize karşı güvenli biçimde dener. Güncelleme tamamlanana kadar savunmanın gerçekten engelleyip engellemediğini kanıtla görürsünüz.

Picus Exposure Validation

Tarayıcının “PHP sürümü eski” dediği onlarca sunucudan hangisinin dışarıdan erişilebilir ve gerçekten istismar edilebilir olduğunu ayırır; yama sırasını risk üzerinden kurarsınız.

Vulnerability Manager Plus

Sunuculardaki PHP kurulumlarını sürümüyle listeler, etkilenen varlıkları tek raporda toplar.

Kaynak: BleepingComputer: PHP ships emergency patches · The Hacker News: CISA confirms active exploitation

Aktif istismarÖnem: Kritik

Node2Shell: Brotli kod çözücüsündeki açık sunucu ve istemcileri etkiliyor

CVE-2026-111497, Google’ın Brotli sıkıştırma kütüphanesinin kod çözücüsünde sınır dışı yazma hatası. Özel hazırlanmış Brotli sıkıştırılmış bir akış; çökme, bellek sızıntısı ve bazı durumlarda uzaktan kod çalıştırmaya yol açıyor. İlk olarak Node.js’te bulundu, ancak açık Brotli uygulamasını kullanan tüm HTTP sunucu ve istemcilerini etkiliyor.

CISA 27 Ekim’de açığı KEV kataloğuna ekledi; ABD federal kurumları için son tarih 10 Kasım. Microsoft .NET için acil güncelleme yayımladı, PHP de 26 Ekim’de Windows derlemelerini bu açık için yeniledi.

Kimi etkiliyor?

Node.js servisleri, .NET uygulamaları, Brotli açık ters vekil sunucular ve bu bileşenleri içeren container imajları.

Ne yapmalı?

  • Üretici güncellemelerini uygulayın; güncelleme sonrası süreçleri yeniden başlatın.
  • Container imajlarını yeniden derleyip dağıtın; eski imajlar açığı taşımaya devam eder.
  • Yama hemen mümkün değilse vekil sunucu veya güvenlik duvarında Brotli sıkıştırılmış istekleri engelleyin.

Technodus ne öneriyor?

Falcon Cloud Security (CWPP)

Kayıt defterindeki ve çalışan container imajlarında açık Brotli/Node.js sürümlerini bulur, yeniden derlenmesi gereken imajları listeler.

Falcon Exposure Management

İnternete açık varlıklarda açık bileşeni tespit eder, KEV durumunu dikkate alarak önceliklendirir.

Kaynak: BleepingComputer: CISA warns of hackers exploiting Node2Shell

TrendÖnem: Yüksek

Fidye yazılımı Q3’te yıllık %50 arttı; Ekim sonunda okullar ve hastaneler hedefte

NordLayer verilerine göre 2026’nın üçüncü çeyreğinde 2.894 fidye yazılımı saldırısı kaydedildi; geçen yılın aynı döneminde bu sayı 1.933’tü. En çok hedef alınan sektör, 200 çalışana kadar imalat KOBİ’leri. The Gentlemen ve Qilin grupları çeyrekte yaklaşık 750 saldırıdan sorumlu.

Ekim’in son haftasında ABD’de iki okul bölgesi ve bir üniversite hastanesi sistemlerini kapatmak zorunda kaldı. Saldırganların açıkladığı etkilenen sistem sayıları doğrulanmış değil, ancak tablo değişmiyor: ilk erişim çoğunlukla yamasız bir kenar cihazından ya da çalınmış kimlik bilgisinden geliyor.

Kimi etkiliyor?

Özellikle imalat, eğitim ve sağlık; yedekleri ağdan ayrılmamış ve yanal hareket görünürlüğü olmayan her kurum.

Ne yapmalı?

  • Yedeklerin en az bir kopyasının çevrimdışı ve değiştirilemez olduğunu doğrulayın; geri dönüşü gerçekten deneyin.
  • Uzaktan erişim ve yönetici hesaplarında MFA’yı istisnasız uygulayın.
  • Yanal hareket ve toplu dosya şifreleme davranışları için alarm kurallarını test edin.

Technodus ne öneriyor?

Thinkst Canary

Ağa yerleştirilen sahte sunucu ve dosyalar, saldırgan keşif yaptığı anda alarm üretir. Fidye yazılımı şifrelemeye geçmeden önceki yanal hareket aşamasını yakalamak için düşük yanlış alarmlı bir erken uyarı katmanıdır.

Picus Security Control Validation (BAS)

Qilin gibi aktif grupların kullandığı teknikleri güvenli biçimde simüle eder; uç nokta ve ağ kontrollerinizin hangi adımı kaçırdığını gösterir.

Falcon Insight XDR

Uç noktada davranış tabanlı tespit ve tek tıkla cihaz izolasyonu; şifreleme başladığında yayılmayı durdurur.

Kaynak: Insurance Journal: Ransomware Attacks Rise 50% in Q3

KEVÖnem: Orta

VMware ESX kayıt açığı ve Linux çekirdeği KEV kataloğunda

CISA 28 Ekim’de iki açığı daha aktif istismar listesine ekledi: Broadcom VMware ESX’te yetersiz kayıt tutma açığı CVE-2026-41709 (federal son tarih 11 Kasım) ve Linux çekirdeğinde başlatılmamış değişken açığı CVE-2026-46300.

ESX’teki açık doğrudan kod çalıştırmıyor, ancak saldırganın sanallaştırma katmanındaki işlemlerinin kayda geçmemesine yol açıyor. Fidye yazılımı gruplarının ESXi sunucularını doğrudan hedeflediği düşünüldüğünde, iz bırakmayan bir saldırı olay müdahalesini ciddi biçimde zorlaştırır.

Kimi etkiliyor?

VMware ESX/ESXi sanallaştırma sunucuları ve yamasız Linux sunucular.

Ne yapmalı?

  • Broadcom güvenlik bildirimindeki sürüme geçin.
  • ESXi kayıtlarını sunucu üzerinde bırakmayın, merkezi kayıt sistemine iletin.

Technodus ne öneriyor?

Log360

ESXi ve Linux syslog kayıtlarını merkezde toplar, yönetici oturumu ve yapılandırma değişikliği kurallarıyla ilişkilendirir; sunucu üzerindeki kayıt silinse bile kopya sizde kalır.

Kaynak: CISA: Adds Two Known Exploited Vulnerabilities (28 Ekim)

Sürüm notları

ManageEngine ürün güncellemeleri

Bu dönemde yayımlanan ManageEngine sürümleri, öne çıkan değişiklikler ve kapatılan güvenlik açıkları.

Network Configuration ManagerBuild 12.9.200 · 21 Ekim 2026
  • Değişiklik Bildirimleri modülü Değişiklik Yönetimi’ne dönüştü: yapılandırma değişikliği, yedekleme, uyumluluk ihlali, firmware açığı, EOL/EOS ve başlangıç-çalışan yapılandırma çakışması gibi olaylar için profil tanımlanıp e-posta, syslog, webhook, SIEM, geri alma veya kayıt açma eylemleri tetiklenebiliyor.
  • Gelişmiş yapılandırma aramasında koşullu filtre ve regex desteği; ArubaOS ve ArubaOS-CX için donanım envanteri.
  • Yeni Yedekleme Sağlığı raporu; Configlet çalıştırmalarında OTP doğrulaması isteğe bağlı.

Güvenlik: 2 açık kapatıldı: operatör rolündeki kullanıcıların yönetici onayı olmadan REST Configlet (CLI dahil) çalıştırabilmesi ve NCM TFTP sunucusu üzerinden sistem dosyalarına erişim.

Technodus notu: TFTP açığı nedeniyle güncellemeyi geciktirmeyin. Yeni Değişiklik Yönetimi, bir cihazda izinsiz yapılandırma değişikliği olduğunda otomatik geri alma ve ServiceDesk Plus’ta kayıt açmayı tek kuralla yapmanızı sağlıyor; bu haftaki kenar cihazı açıklarından sonra özellikle güvenlik duvarları için bu kuralı kurmanızı öneriyoruz.

Kaynak: ManageEngine sürüm notları

Applications ManagerBuild 182800 · 182004 · 23 Ekim 2026
  • Yeni GaussDB izleme (erişilebilirlik, performans, oturumlar, SQL çalıştırma, replikasyon).
  • APM Insight’ta Apdex istek sayıları, JVM iş parçacığı ve çöp toplama alarmları, iş işlemlerinde 4XX/5XX hata sayısı alarmları.
  • ITSM entegrasyonunda CI ilişki eşitleme; Amazon RDS izleyicisinde bellek ve depolama kullanım yüzdeleri.

Güvenlik: 7 açık kapatıldı: APM Insight ajan bağlantısında iki SQL enjeksiyonu, .NET ajanının otomatik güncellemesinde imzasız MSI’ın SYSTEM yetkisiyle çalışabilmesi, Java ajanında imzasız JAR kabulü ve üç yetkilendirme açığı.

Technodus notu: Ajan güncelleme açıkları, ağdaki bir saldırganın izlenen sunuculara kod yerleştirmesine imkân verebilir. APM Insight ajanı kullanıyorsanız 182800’e öncelikli geçmenizi öneriyoruz.

Kaynak: ManageEngine sürüm notları

DataSecurity PlusBuild 6330 · Ekim 2026
  • Dosya denetiminde rapor dışa aktarma artık yalnız PDF ile sınırlı değil; devre dışı bırakılan dosya sunucularına bağlanma denemeleri durduruldu.
  • Veri risk değerlendirmesinde bazı tanımlayıcıların tespit kriterleri yanlış alarmı azaltacak şekilde iyileştirildi; büyük MSSQL tablolarındaki tarama gecikmesi giderildi.
  • “Bu tarayıcıya güven” seçeneğiyle çok faktörlü doğrulama düzeltildi.

Güvenlik: Bileşen güncellemeleri: Apache Log4j 2.26.1, Apache Tomcat 9.0.122, PostgreSQL 15.19 ve birkaç küçük güvenlik düzeltmesi.

Technodus notu: Bileşen güncellemeleri nedeniyle rutin bakım penceresinde yükseltin. DataSecurity Plus ve ADAudit Plus ile dosya sunucusu denetimi rehberi

Kaynak: ManageEngine sürüm notları

Bu açıklar sizi etkiliyor mu? Picus ile savunmalarınızı bu haftanın saldırılarına karşı test edelim, etkilenen varlıkları ve öncelik sırasını birlikte çıkaralım.

Test talep edin
E-BÜLTEN

Yeni yazılar e-postanıza gelsin

ITSM, siber güvenlik ve izleme konularında yayınladığımız rehberleri ayda birkaç kez, reklamsız paylaşırız.