fragnesia linux açığı ve php2shell zafiyeti birleşince işler karışıyor

arkadaşlar, cisa yine uyarı saldı. bu sefer linux kernel’de bulunmuş bir yetki yükseltme açığı var ve kötü niyetli tipler bunu php2shell açıkları ile birleştirerek saldırı yapıyor. yani şöyle ki: önce php2shell ile sisteme giriş yapıyorlar, sonra bu fragnesia açığını kullanarak root yetkisine geçiyorlar. klasik iki adımlı saldırı, ama ciddi ciddi işler karışabiliyor.

durumu özetleyelim

cisa federal ajansları uyarmış, acil acil yamalamışsınız diye. bu linux kernel açığı yüksek seviyede tehlike barındırıyor ve şu anda aktif olarak sömürülüyor. php2shell zafiyeti ile birleştirilince de bütün sistem tehlikede kalabiliyor.

spoiler: bu açık zaten saldırganlar tarafından kullanılıyor, boş durma.

teknik detaylar (şunu bi anlayın)

fragnesia açığı denen şey linux kernel’de bir yetki yükseltme (privilege escalation) açığı. yani sıradan bir kullanıcı olarak sisteme girdikten sonra root olabiliyorsunuz. işte bu açık.

php2shell ise php dosyalarında bulunmuş bir açık. saldırganlar web sunucusuna shell kodu yazabiliyor. web uygulamanız zafiyetli ise, saldırgan php2shell ile sisteme giriş yapıp, sonra fragnesia açığı ile root’a geçiyor.

kombinasyon şu:

1. php2shell ile web sunucusuna shell erişimi sağla
2. fragnesia açığı ile yetki yükselt
3. sistem tamamen ele geçer, bitti işi

etkilenen sistemler

yapmanız gerekenler (acil aksiyonlar)

1. Linux Kernel’i güncelleyin

# Önce sistemin güncel olup olmadığını kontrol edin
uname -r

# Ubuntu/Debian için
sudo apt update
sudo apt upgrade -y
sudo apt install --only-upgrade linux-image-generic -y

# RHEL/CentOS için
sudo yum update kernel -y

# Fedora için
sudo dnf upgrade kernel -y

# Güncelleme sonrası reboot gerekir
sudo reboot

2. PHP uygulamalarınızı kontrol edin

# PHP versiyonunu kontrol edin
php -v

# PHP'yi güncelleyin
sudo apt update && sudo apt upgrade php -y

# Web sunucuyu yeniden başlatın
sudo systemctl restart apache2
# veya nginx ise
sudo systemctl restart nginx

3. Web uygulamalarında güvenlik kontrolü yapın

# PHP dosyalarında şüpheli kodlar arayın
grep -r "shell_exec\|system\|passthru\|exec" /var/www/html/

# Yüklenen dosyaları kontrol edin
find /var/www/html -type f -name "*.php" -mtime -7

4. Sistem loglarını kontrol edin

# Auth loglarında şüpheli girişleri arayın
sudo grep "Failed password\|Invalid user" /var/log/auth.log | tail -20

# Kernel loglarında exploit denemesi olup olmadığını kontrol edin
sudo dmesg | grep -i "segfault\|illegal"

geçici çözümler (yamalamadan önce)

eğer hemen yamalayamıyorsanız, şu önlemleri alın:

• Web uygulamalarının erişimini sınırlandırın: WAF (Web Application Firewall) kuralları ekleyin, php2shell saldırılarını bloke edin
• Dosya yükleme özelliklerini devre dışı bırakın: eğer gerekli değilse, web uygulamalarında dosya yükleme kapat
• AppArmor/SELinux kuralları sıkılaştırın: web sunucusu kullanıcısının yetkileri sınırlandırın
• SSH erişimini sınırlandırın: sadece belirli IP’lerden erişime izin verin
• İzleme arttırın: sistem aktivitelerini yakından takip edin

# AppArmor modunu kontrol edin
sudo aa-status

# SELinux modunu kontrol edin
getenforce

edit: cisa kataloğu

cisa bu açığı kesinlikle yamalama kataloğuna eklemiş. federal ajanslar için zorunlu. özel sektör için de acil tavsiye ediliyor.

edit 2: aktif sömürü var

bleepingcomputer’ın haberine göre, bu açık şu anda gerçek dünyada sömürülüyor. yani teorik değil, pratikte saldırganlar bunu kullanıyor. boş durma arkadaş.

kaynaklar

• CISA Uyarısı
• BleepingComputer Haberi
• Linux Kernel Security
• PHP Security Updates

son not: arkadaşlar, bu açık gerçekten ciddi. test ortamında denedikten sonra production’a geçin. yedek almadan yapmayın, sonra ağlamayın. ve en önemlisi: acil yamalayın.

Bu içerik yapay zeka tarafından oluşturulmuştur.