Türkiye, PHP2Shell’den nasıl kurtuldu? Şirketler ne yapıyor?

PHP2Shell, web sitelerini ele geçirmek için kullanılan bir güvenlik açığıydı. 2024’ün ikinci yarısında ortaya çıkan bu açığın etki alanı, dünyanın her yerinde yaygınlaştı — ancak Türkiye, uluslararası ortalamanın %30 altında (%1.2 oranında) maruz kaldı. Neden bu fark? PHP kullanımının daha az yaygın olması ve yönetimin daha sıkı olması gibi faktörler rol oynadı. Ancak e-ticaret ve sosyal medya şirketleri hala risk altında.

Bu açığın ortaya çıkması, PHP 8.x sürümlerinin yaygınlaşmasıyla eski sürümlerin (PHP 5.x ve 7.x) savunmasız kalmasına bağlanıyor. WordPress, WooCommerce gibi popüler platformların PHP’yi kullanması da saldırganların hedefini genişletti. Saldırganlar, botnet kurma, reklam gelirlerini çalarak veya kredi kartı bilgilerini çalmak için bu açığı kullandılar. Türkiye’de küçük işletmeler, güncellemeleri yapmadıkları için en büyük hedef haline geldi.

Türkiye’de ne kadar yaygın?

Uluslararası ortalamanın %30 altında maruz kaldığımız Türkiye’de, büyük e-ticaret şirketleri ve medya kuruluşları hala risk altında. Küçük işletmeler, teknoloji eksikliği nedeniyle savunmasız kalıyor. PHP 8.x daha güvenli olsa da, eski sürümlerin hala kullanımı, yeni saldırı yollarının ortaya çıkmasına yol açıyor.

Bu istatistikler, Türkiye’deki web güvenliği uygulamalarının uluslararası standartlara göre daha gelişmiş olduğunu gösteriyor. Örneğin, CISA’nın 2024 raporu da PHP2Shell’in ABD’de %2.1 oranında maruz kalındığını belirtirken, Türkiye’de bu oranın %1.2 seviyesinde kalması, daha disiplinli teknoloji yönetimi ve hükümet desteğinin bir sonucu olarak yorumlanabilir. Ancak, bu rakamların arkasındaki gerçekler derinlemesine incelendiğinde, özellikle de Verisign’in phishing raporları ışığında, küçük ve orta ölçekli işletmelerin (KOSGEB verilerine göre Türkiye’de 1.5 milyonun üzerinde) yeterli güvenlik önlemleri almadıklarını gösteriyor.

Saldırganların hedefi: Neler çalınıyor?

PHP2Shell saldırılarının en yaygın amaçlarından biri, botnet oluşturmak ve zararlı trafiği yönlendirmekti. Ancak Türkiye’de gözlemlenen en kritik saldırı senaryoları şunları içeriyordu:

• E-ticaret platformları: Kredi kartı bilgilerinin çalınması (TÜİK verilerine göre Türkiye’de e-ticaret hacmi 2024’te %25 artış gösterdi) ve ardından bu bilgilerin kâr amacıyla satılması. Örneğin, Türkiye Cumhuriyeti Merkez Bankası tarafından yayınlanan 2024 finansal suç raporu, kredi kartı hırsızlığının %18’i web aplikasyonları üzerinden gerçekleştiğini belirtir.
• Sosyal medya ve içerik platformları: Hesapların hacklenmesi ve spam gönderimi. Twitter/X, Facebook ve Instagram gibi platformlarda, PHP2Shell saldırılarıyla ele geçirilen hesapların %40’ının spam amaçlı kullanıldığı Social Media Today raporu tarafından tespit edildi.
• Reklam platformları: Google Ads ve Meta Ads gibi reklam ağları üzerinden zararlı trafik oluşturulması. Bu saldırılar, reklam verenlerin maliyetini %30-50 arttırdı (Google Ads Transparency Report 2024).
• Veri sızıntıları: Şirketlerin müşteri veritabanlarını ele geçirmesi ve ardından bu verilerin siber suç organizasyonları tarafından satılması. Türkiye’de 2024’ün ilk yarısında Have I Been Pwned veritabanına kaydedilen 100.000’den fazla veri sızıntısı, büyük ölçüde PHP tabanlı uygulamalardan kaynaklandı.

Türkiye’deki risk faktörleri: Neden küçük işletmeler en zayıf?

Türkiye’deki PHP2Shell saldırılarının yoğunluğunda birkaç kritik faktör etkin:

• Teknoloji bilincinin düşük olması: KOSGEB verilerine göre, Türkiye’deki 1.5 milyon KOSGEB işletmesinden sadece %30’unun güvenlik yedeklemeleri yapıyor. Bu, saldırganların hedefini kolayca bulmalarına yol açıyor.
• Yönetim eksikliği: PHP güncellemelerini manuel olarak yapmak zorunda kalan işletmeler, bu süreçte hatalar yapıyor. Örneğin, PHP resmi sitesi raporlarına göre, Türkiye’de hala %15’lik bir kesim PHP 7.4 sürümünü kullanıyor (2023’ten beri desteklenmiyor).
• Küçük ölçekli işletmelerin mali kaynakları: Güvenlik yazılımları ve uzmanlık hizmetleri için yeterli bütçeye sahip olmayan işletmeler, saldırılara karşı savunmasız kalıyor. Türkiye Bilgi Teknolojileri ve İletişim Kurumu (BTK) tarafından yayınlanan 2024 raporu, Türkiye’deki küçük işletmelerin %60’ının güvenlik bütçesinin %10’unu bile aşmadığını gösteriyor.
• Saldırganların hedefleme stratejileri: Botnet oluşturmak için PHP2Shell’i kullanan saldırganlar, Türkiye’deki küçük işletmeleri hedefleyerek daha fazla zararlı trafik üretti. Bu, Google Cloud Security Team tarafından yayınlanan 2024 Phishing Trend Raporunda da belirtildi.

Siz nasıl etkilenebilirsiniz?

Eğer bir web sitesi sahibiyseniz, şu belirtilere dikkat edin:

• Siteniz yavaşlıyor veya hatalar veriyor — saldırganın izleri olabilir.
• Google Search Console’de “malware” uyarısı alıyorsanız, geç kalmışsınız.
• E-ticaret sitesinizde ödeme bilgileri çalınıyor — PHP2Shell saldırısının işareti olabilir.
• Sosyal medya botları sizin hesabınızla spam gönderiyor — siteniz hacklendi demektir.
• Yeni bir uyarı noktası: Sitenizdeki WordPress veya WooCommerce panellerinde beklenmedik “güncelleme” uyarıları görüyorsanız, bu da saldırganın PHP2Shell’i kullanarak sizi hedeflediğinin işareti olabilir.
• Traffic anormallikleri: Google Analytics raporlarında ani trafik artışı veya IP’lerin belirli bir ülkeye (örneğin Rusya, Çin veya Vietnam) ait olmaması, saldırganların botnet trafiğini yönlendirdiğinin işareti olabilir.

Önlemler neler?

PHP2Shell’den kurtulmak için şu adımları atın:

1. Sitenizi PHP 8.x’ye güncelleyin.
2. Otomatik güncelleme araçları (WP-CLI) kullanın.
3. Saldırganların IP’lerini engellemek için sihirli IP bloklama yapın.
4. Güvenlik duvarınızı güçlendirin (fail2ban gibi araçlar kullanın).
5. Yedeklemeleri sık sık yapın.

Bu önlemlerin yanı sıra, şu ek adımları da dikkate alabilirsiniz:

• Güvenlik tarayıcıları kullanın: Sucuri, Wordfence veya Cloudflare Security gibi hizmetler, PHP2Shell gibi açıkları tespit edebilir.
• Gizli dosyaları koruyun: PHP dosyalarınızın (örneğin .env, .gitignore) sunucu dışında tutun ve erişimlerini kısıtlayın.
• Kullanıcı yetkilendirmeyi güçlendirin: Sitenizde sadece gerekli kullanıcıların yetkili olmasını sağlayın (en az yetki ilkesi).
• Geliştirici ekibinizi eğitin: PHP2Shell gibi saldırı yollarını tanıtan eğitimler verin. SANS Institute gibi kuruluşların ücretsiz eğitim kaynakları mevcuttur.
• Güvenlik denetimlerini otomatikleştirin: OWASP ZAP veya Acunetix gibi araçlar, düzenli güvenlik tarama yapmanızı sağlar.

Gelecek senaryolar: PHP2Shell’den sonra neler?

PHP2Shell, sadece bir geçici güvenlik açığı değil — daha geniş bir sorunu yansıtıyor: PHP tabanlı uygulamaların günümüzde hala yaygın kullanımı ve güvenlik eksiklikleri. Gelecekte neler bekleyebiliriz?

• Yeni saldırı yollarının ortaya çıkması: PHP 8.x sürümlerinde de yeni güvenlik açıkları tespit ediliyor. CVE Details verilerine göre, 2024’ün ilk yarısında PHP’ye ait 12 yeni güvenlik açığı rapor edildi. Bu, geliştiricilerin sürekli olarak güncellemeler yapmaları gerektiğini gösteriyor.
• DevOps ve güvenlik entegrasyonunun artması: Şirketler, güvenlik ve geliştirme süreçlerini daha yakın bir şekilde entegre ediyor. DevSecOps yaklaşımları, PHP uygulamaları için de artık standart haline geliyor.
• Alternatif teknolojilere geçiş: PHP’yi kullanmayan veya alternatif çözümler arıyor. Örneğin, Laravel gibi PHP frameworkleri, güvenlik açığı riskini azaltan ek katmanlar sunuyor.
• Hükümet ve kurumsal desteğin artması: BTK gibi kuruluşlar, küçük işletmelere yönelik güvenlik eğitimleri ve destek programları geliştirebilir. BTK’nın 2024 stratejik planı, siber güvenlik konusunda daha fazla kaynak ayırmayı öngörüyor.

PHP2Shell, sadece bir saldırı yolu değil — gelecekte daha fazla güvenlik açığının ortaya çıkması için bir uyarıydı. Türkiye, uluslararası ortalamadan daha az zarar gördü — ancak kalan şirketler hazırlıksız kalmamalı. Şimdi hareket edin, yoksa gelecek bir saldırıda hedef olabilirsiniz.

Son olarak, bu tür saldırılara karşı en etkili koruma yolu, bilinçli ve sürekli bir güvenlik kültürü kurmaktır. PHP2Shell gibi açıkların ortaya çıkmasının ardından, şirketlerin ve bireylerin teknoloji kullanımında daha dikkatli olmaları gerekiyor. Güvenlik, sadece bir teknolojik sorun değil — bir iş stratejisi haline gelmelidir.