OrtaII Siber Savaş ve Kritik Altyapı24 Ekim 2026, Cumartesi
Kuzey Kore bağlantılı sanılan grup PHP açığıyla bankalara saldırı hazırlıyor
Singapurlu siber güvenlik şirketi CYFIRMA 24 Ekim'de, Korece konuşan bir grubun PHP2Shell açıklarıyla hükümet ve finans kurumlarına saldırı hazırladığını duyurdu. Şirket saldırı planından yüksek güvenle, Lazarus bağlantısından ise orta güvenle söz ediyor; hedef listesinin 25 Ekim'de bitmesi bekleniyor.
Aju Press'e göre CYFIRMA, operatörlerin 22 Ekim'de kapalı ve anonim bir ağda hedefleri ve hazırlığı tartıştığını tespit etti. Grup 15 parçalık çevrimiçi altyapı kurmuş; somut saldırı tarihi belirlenmedi. Şirket 23 Ekim'de benzer teknik deneyen 17 IP adresi gördü ama bunların aynı gruba ait olduğu kanıtlanmadı. Operatörler kamuya açık saldırı yöntemlerini toplayıp bir yapay zekâ modeliyle sıraladıktan sonra kontrollü ortamda deniyor.
Elektronik Times'a göre CYFIRMA kampanyaya 'June 2026 Minjun' adını verdi ve ağ olarak I2P anonim ağını gösterdi. Açıklar CVE-2026-109618 ve CVE-2026-109619; 10 üzerinden 9,2 önem puanı taşıyor ve oturum açmadan sunucuda komut çalıştırmaya izin veriyor. PHP yamaları 21 Ekim'de yayımladı. Hedef listesinde Güney Kore, ABD, Japonya, Avustralya, Tayvan, Hindistan, Singapur, BAE ve Suudi Arabistan var; öncelik hükümet kurumları ve bankalarda.
Lazarus atfının dayanağı 3 unsur: Korece talimatlar, hükümet ve finans hedefleri ve geçmiş operasyonlara benzeyen web kabuğu yöntemi. CYFIRMA, bilinen Lazarus zararlı yazılımı ya da altyapısıyla doğrudan eşleşme bulmadığını belirtti. Bilim ve BİT Bakanlığı ile KISA 22 Ekim'de özel sektör siber kriz alarmını 'Dikkat'ten 'Uyarı' seviyesine çıkardı. CYFIRMA kurumlara 17 Ekim'den bu yana sızma izi aramalarını tavsiye etti.
Talay değerlendirmesi
Sonuç
Uyarı, PHP2Shell'in kitlesel taramadan hedefli operasyona geçiş penceresine girdiğini gösteriyor; grup geniş tarama yapmadan önce hedef seçiyor. Atıf orta güvende kaldığı için asıl sinyal Lazarus adı değil, yamalanmamış hükümet ve banka sunucularının 9 ülkede aynı listeye girmesi. En olası yol, kitlesel çöküş değil, haftalar içinde tek tek ortaya çıkan ihlaller.
Olası etkiler
- Asya finans altyapısıOlumsuzKısa vade
Bankalar öncelikli hedef; Kore'de eylülden bu yana süren banka ihlallerinin üstüne yeni bir saldırı dalgası, denetim ve bildirim yükünü artırır.
- Kamu hizmetleriOlumsuzKısa vade
Yamalanamayan sunucuların yalıtılması ya da kapatılması tavsiyesi, hükümet sitelerinde önleyici kesintileri uzatabilir.
- Siber atıf politikasıBelirsizOrta vade
Orta güvenli atıf, Seul'ü Pyongyang'a yönelik resmî suçlamada temkinli tutar; kanıt çıkmadan diplomatik adım beklenmez.
İhtimaller
- 1Hedefli ama sınırlı ihlaller%55
Kampanya başlar, yamalanmamış birkaç kurumda web kabuğu bulunur ama sistemik bir finans kesintisi yaşanmaz.
İzlenecek: KISA ya da Japonya'dan PHP2Shell'e bağlanan ilk resmî ihlal bildirimi
- 2Kampanya ertelenir%30
Yamaların hızla yayılması ve güvenilir istismar kodunun gecikmesi grubu geri çeker; uyarı seviyesi düşürülür.
İzlenecek: Kore'nin özel sektör alarmını 'Dikkat' seviyesine indirmesi
- 3Büyük finans ihlali%15
Bir banka ya da hükümet kurumunda geniş veri sızıntısı doğrulanır ve atıf resmî düzeye çıkar.
İzlenecek: Kore Finansal Hizmetler Komisyonu ya da polisin yeni ihlal açıklaması
Olasılıklar kaynaklara dayanan kalibre yargıdır, ölçüm değildir; yeni bilgiyle güncellenir. Yatırım tavsiyesi değildir.
Piyasa tepkisi
Etkilenen göstergeler
- Açık önem puanı▼ 9,2/10
- Kurulan altyapı▼ 15 parça
- Şüpheli IP adresi▼ 17