II Siber Savaş ve Kritik Altyapı·Analiz·Asya-Pasifik
PHP yaması çıktı ama Asya'da saldırı penceresi kapanmadı
CYFIRMA 24 Ekim'de Korece konuşan bir grubun PHP2Shell ile 9 ülkede hükümet ve bankaları hedeflediğini duyurdu. Manşet Lazarus, ama kısıt 2012'ye uzanan ve yaması olmayan sunucularda.
Siber ve Kritik Altyapı Masası · 25 Ekim 2026 · 7 dk okuma · 9 kaynak
Önemi
Gürültü: Kuzey Kore'nin Lazarus grubu PHP açığıyla dünyaya saldırıyor; oysa CYFIRMA bu bağlantıya yalnızca orta güven veriyor. Sinyal: Censys 23 Ekim'de 34,4 milyon PHP hizmetini savunmasız saydı, istismar yamadan 4 gün önce 17 Ekim'de başladı ve açık kod 2012'ye uzanırken yama yalnızca 8.2–8.5 dallarına çıktı. Pencereyi kapatacak olan yama değil, eski sürümlerin emekliye ayrılma hızı.
Etkiler
- CYFIRMA'nın June 2026 Minjun adını verdiği kampanya Güney Kore, Japonya, Tayvan ve Avustralya dahil 9 ülkede hükümet kurumlarını ve bankaları öncelikli hedef listesine koydu.
- Güney Kore 22 Ekim'de özel sektör siber kriz alarmını 'Uyarı'ya çıkardı; Japonya'da Ulusal Vergi İdaresi hizmetini geçici olarak kapattı.
- PHP 23 Ekim'de ikinci bir uzaktan kod çalıştırma riski duyurdu; CVE-2026-115560'ın yaması bir sonraki rutin sürüme kaldı.
Gürültü
Lazarus PHP2Shell ile dünya genelinde hükümet ve bankalara saldırıyor
Sinyal
Asıl risk, yaması olmayan eski PHP sürümleri ve yamadan önce başlayan istismar
Gürültü atıfta, sinyal yamalanamayan sunucuda
Haftanın manşeti, Singapurlu CYFIRMA'nın 24 Ekim'de duyurduğu ve Kuzey Kore'nin Lazarus grubuna bağlanan PHP2Shell kampanyası. Oysa şirket bu bağlantıya yalnızca orta güven veriyor ve bilinen Lazarus zararlı yazılımı ya da altyapısıyla doğrudan eşleşme bulmadığını kendisi yazıyor. Atfın yüksek güvenli kısmı başka bir şey söylüyor: Korece konuşan bir grup, 15 parçalık altyapı kurmuş ve hedef listesini 25 Ekim'de bitirmeye hazırlanıyor. Liste 9 ülkede hükümet kurumlarını ve bankaları öne koyuyor; Güney Kore, Japonya, Tayvan, Avustralya, Hindistan ve Singapur bunlardan 6'sı.
Sessiz parametre, kimin saldırdığı değil, kaç sunucunun yamalanamadığı. Sysdig'e göre açık kod PHP 5.4'e, yani 2012'ye uzanıyor; 21 Ekim yamaları ise yalnızca desteklenen 8.2–8.5 dallarına çıktı. Censys 23 Ekim itibarıyla 34,4 milyon PHP hizmetini savunmasız saydı. Hunt.io'nun izlediği bir saldırganın hedeflediği 123 sunucunun yaklaşık 57'si PHP çalıştırıyordu ve bunların çoğu desteklenmeyen 5.x–7.x sürümlerindeydi. Bu sunucular için yama yok; tek seçenek yalıtmak, kapatmak ya da sürüm yükseltmek.
Pencere neden 21 Ekim'den önce açıldı
Amazon'un tuzak sunucuları ilk istismar denemesini 17 Ekim'de, yamadan 4 gün önce kaydetti. PHP ekibi ayrıntıların 20 Ekim civarında, bazı kritik altyapı sağlayıcılarına verilen ön uyarı üzerinden sızdığını ve takvimi bu yüzden öne çektiğini açıkladı. AWS'nin güvenlik direktörü CJ Moses, farklı yük ve altyapıların birden çok aktöre işaret ettiğini söyledi. Bu yüzden CYFIRMA'nın kurumlara 17 Ekim'den bu yana sızma izi aramalarını önermesi, kamuya açıklama tarihinin savunmanın başlangıç tarihi olamayacağı anlamına geliyor.
Hız da Asya'nın aleyhine işledi. Cloudflare açıklamadan sonraki 45 dakikada on binlerce, 2 saatte yüz binlerce, 22 Ekim sabahına kadar milyonlarca deneme saydı. Şirketin CEO'su Matthew Prince 23 Ekim'de Nikkei'ye, ağında dakikada yaklaşık 1 milyon saldırı denemesi gördüklerini ve aynı ölçekte yeni açıkların geleceğini söyledi. PHP 23 Ekim'de ayrıca CVE-2026-115560 numaralı ikinci bir uzaktan kod çalıştırma riskini duyurdu; bu açığın yaması bir sonraki rutin sürüme bırakıldı.
Asya'nın üç başkenti üç farklı refleks gösterdi
Tokyo kapatmayı seçti. Başbakan Takaichi 21 Ekim akşamı X'te site sahiplerine PHP kullanıp kullanmadıklarını kontrol etmelerini ve hızlı yama yapamıyorlarsa siteyi geçici olarak kapatmalarını önerdi; paylaşım saatler içinde 30 milyon görüntülemeyi geçti. Reuters'a göre Nomura, MUFG, ANA ve JR East bazı hizmetlerini durdurdu, Ulusal Vergi İdaresi hizmetini geçici olarak kapattı. Japonya 2026'nın ilk 9 ayında 2025'in tamamından fazla siber olay kaydetmişti.
Seul alarmı yükseltti. Bilim ve BİT Bakanlığı ile KISA 22 Ekim'de özel sektör siber kriz seviyesini 'Dikkat'ten 'Uyarı'ya çıkardı ve yamalanamayan sunucuların yalıtılmasını istedi. Kore aynı anda eylülden beri süren banka ihlalleriyle uğraşıyor; 14 Ekim itibarıyla 16 finans kurumu mağdur sayıldı. Pekin ise kapatma çağrısı yapmadı. Sanayi ve Bilgi Teknolojisi Bakanlığı kurumlardan sistemlerini denetlemelerini ve parolaları değiştirmelerini istedi, Tencent Cloud müşterilerine güncelleme önerdi.
Kısıt teknik değil, kurumsal
Bu açığın asıl kısıtı yama kodu değil, kurumların eski sürümleri emekliye ayırma kapasitesi. Seul'de bu kapasite soruşturma tarafında da zayıf. Seoul Economic Daily'ye göre yeni Seul Büyük Suçlar Soruşturma Ajansı, polisin yapay zekâ destekli banka saldırıları dosyasını 23 Ekim'de 3 gün içinde geri çevirdi. Ajansın siber suç biriminin başkanlık koltuğu boş; kurumlar arası yetki anlaşmazlığını çözecek konsey ise şubata kadar yürürlüğe girmiyor.
Atfın orta güvende kalması da siyasi bir kısıt. CrowdStrike eylül sonundaki Kore banka saldırılarını orta güvenle Çince konuşan ve para odaklı bir aktöre bağlamıştı; Aju Press bu olaylarla PHP2Shell kampanyası arasında kanıt olmadığını yazıyor. İki dosya ayrı kaldıkça Seul hiçbir başkente resmî suçlama yöneltemez; savunma da teknik tedbirle sınırlı kalır.
Bu okumayı ne çürütür
Okumayı çürütecek ilk gelişme, güvenilir istismar kodunun hiç gelmemesi. Previdian, Wordfence ve Dataminr 22–23 Ekim itibarıyla başarılı bir kod çalıştırma görmedi; Hunt.io'nun izlediği 123 hedefin hiçbiri ele geçirilmedi. Buna karşılık VulnCheck, iki açığı zincirleyip x86-64 sistemlerde adres rastgeleleştirmesini aşan bir teknik geliştirdi. Önümüzdeki 2 hafta içinde Asya'da PHP2Shell'e bağlanan resmî bir ihlal bildirimi gelmezse, pencere sanıldığından dar demektir ve risk tek tek kurumların sorunu olarak kalır.
İkinci çürütücü, CYFIRMA'nın 25 Ekim'de bitmesi beklenen hedef listesinden sonra hiçbir yeni hazırlık izi raporlamaması ve Kore'nin alarmı 'Dikkat' seviyesine geri çekmesi olur. Tersine, tek bir Asya bankasında 17 Ekim tarihli bir web kabuğu bulunması H2 olasılığını 30'un üzerine taşır. Bu durumda tartışma yama hızından, eski sürümleri ayakta tutan kurumların hesap verebilirliğine kayar.
Olasılıklar
Senaryolar
| Senaryo | Olasılık | Tetikleyici | Piyasa etkisi |
|---|---|---|---|
| H1Dağınık ve sınırlı ihlaller | %55 | Kampanya başlar, yamalanmamış birkaç kurumda web kabuğu bulunur ama sistemik bir finans kesintisi olmaz. | Önleyici kapatmalar haftalarca sürer, ihlal bildirimleri tek tek gelir, alarm seviyeleri yüksek kalır. |
| H2Hedefli finans ihlali | %30 | Kore, Japonya ya da Tayvan'da bir banka veya hükümet kurumunda PHP2Shell kaynaklı geniş veri sızıntısı doğrulanır. | Düzenleyiciler zorunlu denetim ve bildirim yükü getirir; atıf tartışması diplomatik düzeye taşınır. |
| H3Pencere erken kapanır | %15 | Güvenilir istismar kodu gelmez, yamalar ve yalıtma hızla yayılır, Kore alarmı düşürür. | Kampanya ertelenir, risk eski sürüm kullanan küçük kurumların sorunu olarak kalır. |
Modül A
Kısıt Matrisi
YAPISAL ORT. 3,8 · OPERASYONEL ORT. 2,7Yapısal kısıtlar baskın: sonuç, aktörlerin tercihlerinden çok bu sınırlarla belirlenir.
Yapısal kısıtlarkalıcı · iradeden bağımsız
Desteklenmeyen PHP sürümleri
5/5Açık kod 2012'deki PHP 5.4'e uzanıyor, yama yalnızca 8.2–8.5 dallarına çıktı; Hunt.io'nun izlediği 57 PHP sunucusunun çoğu 5.x–7.x sürümündeydi ve bunlara yama gelmeyecek.
Yamadan önce başlayan istismar
4/5Amazon ilk denemeyi 17 Ekim'de kaydetti, yama 21 Ekim'de çıktı; 4 günlük açıkta ele geçirilen sunucular yama sonrası da tehlikede kalır.
Orta güvenli atıf
3/5CYFIRMA Lazarus bağlantısına orta güven verdi, ortak zararlı yazılım ya da altyapı bulmadı; Seul resmî suçlama için kanıt bekliyor.
Kore'de soruşturma yetki boşluğu
3/5Seul Büyük Suçlar Soruşturma Ajansı banka saldırısı dosyasını 23 Ekim'de geri çevirdi; yetki anlaşmazlığını çözecek konsey şubata kadar yürürlükte değil.
Operasyonel sürtünmegeçici · zamanla çözülür
Önleyici kapatmaların maliyeti günler
3/5Japonya'da Ulusal Vergi İdaresi hizmetini geçici olarak kapattı, Nomura, MUFG, ANA ve JR East bazı hizmetleri durdurdu; kesinti uzadıkça hizmet maliyeti büyür.
Saldırı hacmi günler
3/5Cloudflare 23 Ekim'de ağında dakikada yaklaşık 1 milyon saldırı denemesi gördüğünü söyledi; tarama gürültüsü hedefli denemeleri gizliyor.
İkinci açık yamasız haftalar
2/5CVE-2026-115560 için yama bir sonraki rutin sürüme kaldı; geçici çözüm session.upload_progress.enabled=0 ayarı.
Modül B
Sinyal ve Gürültü
SİNYAL %67 · GÜRÜLTÜ %33
- GÜRÜLTÜ
Lazarus PHP2Shell ile dünya genelinde hükümet ve bankalara saldırıyor
CYFIRMA 24 Ekim'de Lazarus bağlantısına yalnızca orta güven verdi; bilinen Lazarus zararlı yazılımı ya da altyapısıyla doğrudan eşleşme bulunmadı.
Aju Press — Suspected North Korea-linked hackers target Korean banks, government
- SİNYAL
Asıl risk, yaması olmayan eski PHP sürümleri ve yamadan önce başlayan istismar
Censys 23 Ekim'de 34,4 milyon PHP hizmetini savunmasız saydı; açık kod 2012'deki PHP 5.4'e uzanıyor, yama yalnızca 8.2–8.5 dallarına çıktı.
The Hacker News — PHP2Shell Exploit Attempts Hit Millions as Attackers Try to Deploy Mirai Malware
- SİNYAL
İstismar kamuya açıklamadan önce başladı
Amazon ilk denemeyi 17 Ekim'de, 21 Ekim yamalarından 4 gün önce kaydetti; ayrıntılar 20 Ekim civarında sızdı.
BleepingComputer — Amazon says PHP2Shell exploitation began 4 days before patches
- SİNYAL
Saldırgan hedef seçimini yapay zekâyla hızlandırıyor
CYFIRMA'ya göre grup kamuya açık saldırı kodlarını bir yapay zekâ modeliyle sıralıyor, 15 parçalık altyapı kurdu ve listeyi 25 Ekim'de bitirecek.
Electronic Times (전자신문) — PHP 취약점 악용한 공격 계획 포착…북한 해킹조직 연계 여부 주목
- GÜRÜLTÜ
Yamalar çıktı, kriz kapandı
PHP 23 Ekim'de CVE-2026-115560 için ikinci bir uzaktan kod çalıştırma riskini duyurdu ve yamayı bir sonraki rutin sürüme bıraktı.
The Hacker News — PHP Warns of Another Unpatched RCE Risk Two Days After Emergency PHP2Shell Patches
- SİNYAL
Saldırı hacmi düşmüyor, yeni açıklar bekleniyor
Cloudflare CEO'su 23 Ekim'de dakikada yaklaşık 1 milyon deneme gördüklerini ve aynı ölçekte yeni açıkların geleceğini söyledi.
Nikkei Asia — More PHP-scale dangers lurk on the internet, CloudFlare CEO says
Modül C
Varlık Sınıfı ve Pozisyonlama Çıkarımları
| Varlık sınıfı | Maruziyet | Aktarım kanalı | H1 | H2 | H3 | Beklenen | Kanaat | Vade | İzlenecek |
|---|---|---|---|---|---|---|---|---|---|
| Hisse | Asya siber güvenlik hizmetleri sektörü | Acil yama, izleme ve olay müdahalesi harcaması | + | ++ | 0 | +1,15 | ●●● | 0–3 ay | Kore ve Japonya'da kurumların ihlal bildirimleri |
| Hisse | Kore ve Japonya bankacılık sektörü | İhlal maliyeti, tazminat ve denetim yükü | 0 | −− | + | −0,45 | ●●● | 0–3 ay | Kore Finansal Hizmetler Komisyonu açıklamaları |
| Oynaklık | Asya hisse oynaklığı | Finansal altyapı ihlalinin risk primine yansıması | 0 | + | − | +0,15 | ●●● | 0–3 ay | VIX ve bölgesel oynaklık endeksleri |
| Kredi | Asya barındırma ve web hizmeti şirketleri kredisi | Tazminat ve iş kesintisi maliyeti | 0 | − | 0 | −0,30 | ●●● | 3–12 ay | Barındırma şirketlerinin tazminat ve sigorta açıklamaları |
İkinci tur etkiler
Peki sonra ne olur?
Başlangıç
PHP2Shell istismarı 17 Ekim'de, yamadan 4 gün önce başladı; 23 Ekim'de 34,4 milyon PHP hizmeti savunmasızdı ve desteklenmeyen sürümler için yama yok.
- 1
Hedef seçimigünler içinde
Hedef listesi tamamlanan gruplar kitlesel taramadan, yamalanmamış hükümet ve banka sunucularına yönelik sessiz ve seçici denemelere geçer; kamuya açık tarama verisi düşerken risk artar.
İzlenecek: CYFIRMA ve KISA'nın 25 Ekim sonrası güncellemeleri; 17 Ekim sonrası web kabuğu bulguları
- 2
İhlal bildirimihaftalar içinde
İlk hedefli ihlaller Kore, Japonya ya da Tayvan'da bir finans veya lojistik kurumunda doğrulanır; düzenleyiciler ihlal bildirimi ve tazminat süreci başlatır, kurumlar kapatma süresini uzatır.
İzlenecek: Asya'da PHP2Shell'e bağlanan ilk resmî ihlal bildirimi ve Kore FSC açıklamaları
- 3
Düzenleme ve sigortaaylar içinde
Düzenleyiciler desteklenmeyen yazılım sürümlerini bağlayıcı kurala bağlar, siber sigorta eski sürüm kullanan kurumlarda prim ve kapsam şartını sıkılaştırır; Japonya'da aktif siber savunma yetkisi yeniden gündeme gelir.
İzlenecek: Japonya FSA ve Kore FSC'nin eski yazılım sürümleri için kural taslakları
Zinciri kıran
Güvenilir istismar kodu 2 hafta içinde ortaya çıkmazsa ve desteklenmeyen sunucular yalıtılırsa zincir ilk adımda kalır; 22–23 Ekim itibarıyla başarılı kod çalıştırma görülmedi.
Tetikleyiciler
İzlenecek eşikler
| Gösterge | Eşik | Bugün | Anlamı |
|---|---|---|---|
| VIX oynaklık endeksi | > 20 | 16,91 | VIX'in 20'yi aşması, Asya'da bir banka ya da borsa altyapısında PHP2Shell kaynaklı ihlalin küresel risk iştahına sıçradığını gösterir. |
Kaynaklar
- Aju Press — Suspected North Korea-linked hackers target Korean banks, government
- Electronic Times (전자신문) — PHP 취약점 악용한 공격 계획 포착…북한 해킹조직 연계 여부 주목
- The Hacker News — PHP2Shell Exploit Attempts Hit Millions as Attackers Try to Deploy Mirai Malware
- The Hacker News — PHP Warns of Another Unpatched RCE Risk Two Days After Emergency PHP2Shell Patches
- BleepingComputer — Amazon says PHP2Shell exploitation began 4 days before patches
- Taipei Times (Reuters) — Millions of hacking attempts amid rush to patch PHP
- Nikkei Asia — More PHP-scale dangers lurk on the internet, CloudFlare CEO says
- Tech-ish — Japan's PM, the NSA and the FBI tell websites to update PHP or go offline
- Seoul Economic Daily — Financial Hacking Case Returns to Police as New Crime Agency Declines
Kaynak ve doğrulama kuralları: metodoloji · Hata bildirimi: iletişim
İlgili raporlar
IISiber ve Altyapı·Analiz·Asya-Pasifik
Japonya'da siber saldırının faturası poliçeye değil bilançoya yazılıyor
Tokyo 27 Ekim'de saldırgan sitesi için nadir bir erişim engeli istedi. Sessiz rakam başka yerde: GMO'nun 2031 vadeli tahvil makası 8 günde 52 baz puan açıldı, çünkü Japon poliçeleri fidyeyi ve çoğu zaman iş kesintisini kapsamıyor.
Siber ve Kritik Altyapı Masası · 30 Ekim 2026 · 6 dk
IISiber ve Altyapı·Analiz·Asya-Pasifik
Siber dalga Asya'da bankayı değil, aracı kurumun kiralık sunucusunu vuruyor
GMO 28 Ekim'de 1 milyon dolarlık ödül açtı, Kore'de aynı gün 3 finans kurumu daha ihlal bildirdi. Manşet fidye tutarında; kısıt ise müşteriyle piyasa arasındaki kiralık sunucu katmanının iki ülkede de kritik altyapı tanımının dışında kalması.
Siber ve Kritik Altyapı Masası · 28 Ekim 2026 · 6 dk
VTeknoloji ve YZ·Analiz·Asya-Pasifik
Yapay zekâ çipi Asya'nın büyümesini tek kaleme yığıyor
Kore 27 Ekim'de %1 büyüdü ve büyümenin yarısını çip taşıdı; aynı gün TSMC'nin paketleme fiyatını %20'ye kadar artıracağı yazıldı. Manşet güç, kısıt ise tek bir döngüye bağlanan büyüme ve paketlemede ikiye katlanan teslim süresi.
Teknoloji Jeopolitiği Masası · 27 Ekim 2026 · 7 dk