ABD hükümetine ait 25 sunucu hacklendi... ve yapay zekanın da bunda rolü olabilir.

Bir rapora göre, bilgisayar korsanları dört ülkede 25 sunucuya sızdı; bu sunucular arasında ABD hükümetine bağlı bir kurumla bağlantılı sistemler de bulunuyor. Güvenlik araştırmacıları ayrıca saldırıda yapay zeka araçlarının kullanılmış olabileceğine dair kanıtlar da buldu .

Dream Research tarafından Pazartesi günü yayınlanan yeni bir rapora göre , saldırganlar milyonlarca web sitesi tarafından kullanılan PHP programlama dilindeki kritik güvenlik açıklarından yararlandıktan sonra, hedef sistemlerin tam kontrolünü ele geçirmek için başka bir güvenlik açığını istismar ettiler.

Saldırılar Amerika Birleşik Devletleri, Japonya, Tayvan ve Güney Kore'deki sunucuları hedef aldı. Araştırmacılar, olası bir Çin bağlantısına işaret eden kanıtlar buldular, ancak saldırganları tespit edemediler veya herhangi bir hükümet müdahalesini doğrulamadılar.

Bu keşifte özellikle endişe verici olan şey, saldırganların ne kadar ileriye gittikleridir. ABD hükümetiyle bağlantılı bir ortamda, ilk ihlalin ötesine geçerek iç ağ bilgilerine, çalışan hesap listelerine ve kimlik doğrulama bilgilerine erişim sağladılar.

Yapay zekanın kesin rolü henüz net olmasa da, araştırmacılar saldırganların ortamında yapay zekanın siber saldırıları nasıl hızlandırabileceği konusunda soru işaretleri uyandıran çeşitli araçlar buldular.

Hackerlar tek bir güvenlik açığını nasıl çok daha geniş bir saldırıya dönüştürdü?

Saldırı, 21 Ekim'de kamuoyuna açıklanan ve PHP2Shell olarak bilinen iki kritik güvenlik açığından yararlanılarak başlatıldı.

PHP, WordPress siteleri ve çevrimiçi hizmetler de dahil olmak üzere milyonlarca web sitesi tarafından arka planda kullanılmaktadır. CVE-2026-109618 ve CVE-2026-109619 olarak tanımlanan bu iki güvenlik açığı, saldırganların savunmasız sunucularda kötü amaçlı komutlar çalıştırmasına olanak tanır.

Ancak saldırganlar bununla yetinmedi. Bu güvenlik açıklarını Fragnesia adı verilen başka bir Linux güvenlik açığıyla birleştirerek, kullanıcı adı veya şifreye ihtiyaç duymadan güvenlik duvarı sistemlerinin tam kontrolünü ele geçirmeyi başardılar.

Tom's Guide ile paylaşılan bir Dream Research raporuna göre , tüm süreç 15 dakikadan kısa sürebiliyor.

Hackerlar, yaklaşık 19,000 açıkta bulunan çevrimiçi güvenlik duvarını tarayarak kampanyalarına başladılar, ardından hedef listelerini potansiyel olarak savunmasız 240 sisteme indirdiler. Daha sonra otomatik saldırılar kullanarak ek 24 güvenlik duvarını ve bir iç yönetim sunucusunu daha ele geçirdiler ve böylece ele geçirilen sistem sayısı toplamda 25'e ulaştı.

Araştırmacılar ayrıca, bilgisayar korsanlarının ele geçirdikleri sistemlerin çoğuna kötü amaçlı web tabanlı araçlar yüklediklerini ve bunun da ilk saldırıdan sonra bile geri dönüp sistemlere yeniden girme potansiyel yolunu sağladığını keşfettiler.

Saldırganlar, ABD hükümetiyle bağlantılı bir ağa erişim sağladı.

En endişe verici bulgular arasında, ele geçirilen üç sunucunun ABD hükümetiyle bağlantılı bir kuruluşla ilişkili olduğunun ortaya çıkması yer alıyor; bu da ihlalin ciddiyetini ve kapsamını vurguluyor.

İnternetteki güvenlik duvarını aşan bilgisayar korsanları, sanal özel ağ (VPN), giriş sistemleri ve diğer sunucular da dahil olmak üzere kuruluşun iç ağıyla ilgili ayrıntılara erişebildi.

Ardından ağın daha derinlerine nüfuz ederek merkezi güvenlik duvarı yönetim sunucusunu başarıyla aştılar ve bir hesap şifresini çaldılar. Ayrıca kuruluş içindeki kullanıcı ve grupların bir listesini de ele geçirdiler.

Araştırmacılar, saldırganların çalışanların şifrelerini tahmin etmeye, yetkisiz hesaplar oluşturmaya ve ek giriş bilgilerine erişmeye çalıştığına dair kanıtlar buldu; ancak bu girişimlerin gerçekten başarılı olup olmadığı henüz net değil.

Dream Research ayrıca, raporun yayınlandığı sırada bilgisayar korsanlarının bazı sistemlere hâlâ erişimlerinin olabileceği konusunda uyarıda bulundu, ancak bu bağımsız olarak doğrulanmadı.

Güvenlik firması, güvenlik duvarı üreticisinin adını veya etkilenen yazılım sürümlerini açıklamadı, ancak ilgili satıcıyı bilgilendirdiğini doğruladı.

Saldırganların ortamında yapay zeka araçlarını keşfetmek

Araştırmacılar, saldırganların ortamında yapay zeka araçları tespit ederek bunların saldırılarda potansiyel kullanımına işaret etti. Bu araçlar arasında Anthropic'in Cloud Code'u ve DeepSeek ve Kimi gibi Çin yapay zeka modelleriyle çalışacak şekilde yapılandırılmış aiscan adlı yapay zeka destekli bir güvenlik platformu yer alıyordu.

Araştırmacılar ayrıca, tutarlı biçimlendirmeleri ve yorumları bazılarının yapay zekâ yardımıyla yazılmış olabileceğini düşündüren yaklaşık 40 özel komut dosyası buldu.

Ancak Dream Research, yapay zekanın güvenlik açıkları oluşturmak veya saldırılar gerçekleştirmek için kullanıldığına dair doğrudan bir kanıt bulunmadığı konusunda uyardı. Bu araçlar, saldırganların ortamında mevcut olabilir ancak ihlallerde fiilen rol oynamayabilir.

Ancak bu bulgular, bilgisayar korsanlarının yapay zeka destekli programlama araçlarını , yani geliştiricilerin kod yazmak ve sorunları gidermek için kullandığı araçları nasıl istismar edebileceği konusunda ciddi endişeler doğurmaktadır .

Araştırmacılar ayrıca Çince kod, Çin saat dilimine ayarlanmış sistemler ve Amerika Birleşik Devletleri ile Doğu Asya'daki sitelerin hedef alınması gibi olası bir Çin bağlantısını düşündüren kanıtlar buldu. Ancak bunların hiçbiri saldırılardan kimin sorumlu olduğunu kesin olarak doğrulamıyor.

Özet ve öneriler

PHP2Shell, telefonunuzu veya dizüstü bilgisayarınızı doğrudan etkilemez, ancak web siteleri ve çevrimiçi hizmetler tarafından depolanan bilgileri tehdit eder. Saldırganlar bu sunuculara sızarsa, şifrelere, hassas verilere veya iç sistemlere erişebilirler.

Dream Research, bu kampanyada sıradan tüketicilerin kişisel bilgilerinin çalındığına dair hiçbir kanıt bulamadı. Bununla birlikte, bu güvenlik açıkları, bahsedilen 25 sunucunun ötesinde de zaten istismar ediliyor.

Amazon Web Services, bu güvenlik açıklarından yararlanma girişimlerini, kamuoyuna açıklanmalarından dört gün önce, 17 Ekim gibi erken bir tarihte tespit etti . Sophos başlangıçta başarılı bir saldırı bildirmesine rağmen, daha sonra bulgularını revize ederek, müşterilerinin ortamlarında herhangi bir ihlal tespit etmeden, taramalar ve az sayıda başarısız saldırı tespit ettiğini belirtti.

WordPress web siteleri veya çevrimiçi mağazalarının yöneticileri için, PHP sürümlerinin güncel ve yamalanmış olduğundan emin olmak için barındırma sağlayıcılarıyla iletişime geçmek çok önemlidir. Yalnızca WordPress eklentilerini güncellemek, güvenlik açıklarını tamamen gidermek için yeterli olmayabilir. Yöneticiler ayrıca, güvenlik güncellemelerinin uygulanması, sisteme zaten erişim sağlamış bir saldırganı ortadan kaldırmadığı için, önceki bir ihlalin belirtilerini de iyice kontrol etmelidir.

Genel halk için, benzersiz ve karmaşık şifreler kullanmak, iki faktörlü kimlik doğrulamayı (2FA) etkinleştirmek ve şüpheli giriş uyarılarına dikkat etmek gibi temel güvenlik uygulamalarını benimsemek, vazgeçilmez bir ilk savunma hattıdır.

---

---