أعلن باحثون من شركة VulnCheck عن أول استغلال لثغرة PHP2Shell (CVE-2026-109618b)، والتي تتجاوز آلية عشوائية مساحة العناوين (ASLR) على أنظمة x86-64 ذات إعدادات PHP النموذجية. تسمح هذه الثغرة للمهاجمين باستهداف الأنظمة التي تعمل بنظام PHP 8.4.10-8.4.26 بإعداداتها الافتراضية. سابقًا، حالت صعوبة تحديد تخطيط الذاكرة في وحدة mod_php دون تنفيذ استغلال يسمح بتنفيذ التعليمات البرمجية على الأنظمة الحقيقية. ولتجاوز ASLR، تستغل الثغرة تسريبًا في عنوان الذاكرة ضمن كود عرض الأخطاء.
يُذكر أن الوصول إلى الثغرة الأمنية العاملة يقتصر على عملاء أمن المعلومات، لكن بإمكان المهاجمين إعادة ابتكار هذه التقنية باستخدام الذكاء الاصطناعي. لتجاوز تسريب تعيين عناوين URL، يُنصح بتعيين المعامل "display_errors=off" في ملف php.ini، بالإضافة إلى التوصيات المنشورة سابقًا. كما يشير موقع VulnCheck إلى ظهور مئات النماذج الأولية للثغرات الأمنية على GitHub، ولكن لم يتم تقييم سوى عدد قليل منها على أنها فعّالة، وكان نموذج أولي واحد فقط قادرًا على تجاوز ASLR.
علاوة على ذلك، أفاد الرئيس التنفيذي لشركة كلاود فلير بأن الشركة تسجل ملايين المحاولات لاستغلال ثغرة PHP2Shell، مقارنةً بآلاف المحاولات قبل عشر ساعات من الإعلان عن الثغرة، ومئات الآلاف بعد ساعتين من الكشف الرسمي عنها. ويبدو أن الهجمات تستخدم نماذج أولية لاستغلال الثغرات، والتي لا تكشف إلا عن وجود إصدارات PHP المعرضة للخطر، إذ لا توجد حالات مؤكدة لاختراق ثغرات PHP2Shell.
بحسب أمازون، رُصدت أولى محاولات الاستغلال بواسطة أنظمة الخداع المنتشرة في 17 أكتوبر، أي قبل ثلاثة أيام من تسريب مُعرّفات CVE الأولية. واشتدّ النشاط في 21 أكتوبر، قبل 12 ساعة من إصدار تصحيح PHP، حيث رُصدت خلال تلك الفترة محاولات هجوم باستخدام عدة نماذج أولية للاستغلال. كما رصد نظام هادريان محاولات هجوم قبل الكشف الرسمي.
المصدر: opennet.ru
