Navorsers van VulnCheck het die eerste aanval vir die PHP2Shell-kwesbaarheid (CVE-2026-109618b) aangekondig, wat die adresruimte-randomiseringsmeganisme (ASLR) op x86-64-stelsels met 'n tipiese PHP-konfigurasie omseil. Die aanval laat aanvallers toe om stelsels aan te val wat PHP 8.4.10-8.4.26 in standaardkonfigurasies gebruik. Voorheen het die moeilikheid om die geheue-uitleg in die mod_php-module te bepaal, die implementering van 'n aanval verhoed wat kode-uitvoering op werklike stelsels sou toelaat. Om ASLR te omseil, gebruik die aanval 'n adreslek in die foutvertoningskode.
Toegang tot die werkende aanval word as beperk tot inligtingsekuriteitskliënte beskou, maar aanvallers kan die tegniek met behulp van KI herskep. Om die URL-karteringslek te omseil, stel die parameter "display_errors=off" in php.ini, benewens voorheen gepubliseerde aanbevelings. VulnCheck merk ook op dat honderde aanvalsprototipes op GitHub verskyn het, maar slegs 'n paar is as werkend beoordeel, en slegs een prototipe was in staat om ASLR te omseil.
Verder het Cloudflare se uitvoerende hoof berig dat die maatskappy miljoene pogings aanteken om die PHP2Shell-kwesbaarheid te misbruik, in vergelyking met duisende sulke pogings 10 uur voordat die kwesbaarheid aangekondig is, en honderdduisende twee uur na die amptelike bekendmaking. Blykbaar gebruik die aanvalle prototipe-misbruik wat slegs die teenwoordigheid van kwesbare PHP-weergawes opspoor, aangesien daar geen bevestigde gevalle van inbraak deur PHP2Shell-kwesbaarhede is nie.
Volgens Amazon is die eerste pogings tot uitbuiting reeds op 17 Oktober deur ontplooide heuningpotstelsels opgespoor, drie dae voordat die aanvanklike CVE-identifiseerders uitgelek is. Aktiwiteit het op 21 Oktober, 12 uur voor die vrystelling van die PHP-pleister, toegeneem, waartydens aanvalspogings met verskeie prototipe-variante van die uitbuiting opgespoor is. Hadrian het ook aanvalspogings voor die amptelike bekendmaking opgespoor.
Bron: opennet.ru
