Обявен е първият експлойт за PHP2Shell уязвимости, който заобикаля случайната адресация

Изследователи от компания VulnCheck обявиха, че са получили първия експлоит за уязвимостта PHP2Shell (CVE-2026-109618б), който заобикаля механизма за рандомизация на адресите (ASLR) на системи x86-64 с типична конфигурация на PHP. Експлоитът позволява атака на системи с PHP 8.4.10-8.4.26 в конфигурация по подразбиране. По-рано, трудността при определянето на подреждането на паметта в модула mod_php затрудняваше реализирането на експлоита, позволяващ изпълнението на код на реални системи. За да се заобиколи ASLR, в експлоита е използвана информация за адресите, изтекла в кода за показване на грешки.

Съобщава се, че достъпът до работещия експлоит е предоставен само на клиенти, ангажирани с информационна сигурност, но злонамерените лица могат да възпроизведат използваната техника чрез AI. За да се предотврати блокирането на изтичането на информация за подредбата на адресите, е необходимо да се зададе параметърът 'display_errors=off' в php.ini, в допълнение към преди това публикуваните препоръки. VulnCheck също така споменава, че на GitHub са появили стотици прототипи на експлоити, но само единици са оценени като работещи и само един прототип е успял да заобиколи ASLR.

Освен това, директорът на Cloudflare съобщи, че компанията регистрира милиони опити за експлоатация на уязвимостта PHP2Shell, при положение, че 10 часа преди анонса за наличието на уязвимости вече имаше хиляди опити, а два часа след официалното разкритие броят им достига стотици хиляди. Изглежда, че в атаките се използват прототипи на експлоити, които единствено фиксират наличието на уязвими версии на PHP, тъй като все още няма информация за потвърдени случаи на хакерски атаки чрез уязвимостите PHP2Shell.

Според информация от компания Amazon, първите опити за експлоатация са фиксирани от разположените honeypot системи още на 17 октомври, т.е. три дни преди изтичането на първите данни за CVE идентификаторите. Активността се е увеличение на 21 октомври, 12 часа преди публикуването на коригиращите актуализации на PHP, в този момент са регистрирани опити за атаки с използване на различни варианти на прототипи на експлоити. Опити за атаки преди официалното разкритие на информацията също са регистрирани от компания Hadrian.

Източник: opennet.ru