VulnCheck tədqiqatçıları, tipik PHP konfiqurasiyasına malik x86-64 sistemlərində ünvan sahəsi təsadüfi mexanizmini (ASLR) aşan PHP2Shell zəifliyi (CVE-2026-109618b) üçün ilk istismarı elan etdilər. Bu istismar təcavüzkarlara standart konfiqurasiyalarda PHP 8.4.10-8.4.26 işlədən sistemlərə hücum etməyə imkan verir. Əvvəllər mod_php modulunda yaddaş düzülüşünün müəyyən edilməsindəki çətinlik, real sistemlərdə kodun icrasına imkan verən istismarın tətbiqinə mane olurdu. ASLR-i keçmək üçün istismar, səhv ekran kodunda ünvan sızmasından istifadə edir.
İşləyən istismara girişin informasiya təhlükəsizliyi müştəriləri ilə məhdudlaşdığı bildirilir, lakin təcavüzkarlar süni intellektdən istifadə edərək texnikanı yenidən yarada bilərlər. URL xəritələşdirmə sızmasının qarşısını almaq üçün əvvəllər dərc edilmiş tövsiyələrə əlavə olaraq php.ini-də "display_errors=off" parametrini təyin edin. VulnCheck həmçinin qeyd edir ki, GitHub-da yüzlərlə istismar prototipi peyda olub, lakin onlardan yalnız bir neçəsi işlək kimi qiymətləndirilib və yalnız bir prototip ASLR-i keçə bilib.
Bundan əlavə, Cloudflare şirkətinin baş direktoru bildirib ki, şirkət PHP2Shell zəifliyindən milyonlarla dəfə istifadə etmək cəhdi qeydə alır, halbuki zəifliyin elan edilməsindən 10 saat əvvəl minlərlə, rəsmi açıqlamadan iki saat sonra isə yüz minlərlə belə cəhd qeydə alınıb. Görünür, hücumlar yalnız zəif PHP versiyalarının mövcudluğunu aşkar edən prototip istismarlarından istifadə edir, çünki PHP2Shell zəiflikləri vasitəsilə haker hücumunun təsdiqlənmiş halları yoxdur.
Amazon-a görə, ilk istismar cəhdləri, ilkin CVE identifikatorlarının sızmasından üç gün əvvəl, 17 oktyabrda yerləşdirilən honeypot sistemləri tərəfindən aşkar edilmişdir. Aktivlik, PHP patch buraxılışından 12 saat əvvəl, 21 oktyabrda daha da güclənmiş və bu müddət ərzində bir neçə istismar prototip variantından istifadə edən zaman hücum cəhdləri aşkar edilmişdir. Hadrian həmçinin rəsmi açıqlamadan əvvəl hücum cəhdlərini də aşkar etmişdir.
Mənbə: opennet.ru
