Istraživači iz VulnCheck-a su objavili prvi iskorištavanje ranjivosti PHP2Shell (CVE-2026-109618b), koja zaobilazi mehanizam randomizacije adresnog prostora (ASLR) na x86-64 sistemima s tipičnom PHP konfiguracijom. Eksploit omogućava napadačima da napadnu sisteme koji koriste PHP 8.4.10-8.4.26 u zadanim konfiguracijama. Ranije je poteškoća u određivanju rasporeda memorije u modulu mod_php sprječavala implementaciju iskorištavanja koje bi omogućilo izvršavanje koda na stvarnim sistemima. Da bi zaobišao ASLR, iskorištavanje koristi curenje adrese u kodu za prikaz greške.
Navodi se da je pristup radnom exploitu ograničen na klijente za sigurnost informacija, ali napadači mogu rekreirati tehniku koristeći umjetnu inteligenciju. Da biste zaobišli curenje URL mapiranja, postavite parametar "display_errors=off" u php.ini, pored prethodno objavljenih preporuka. VulnCheck također napominje da su se stotine prototipova exploita pojavile na GitHub-u, ali da je samo nekoliko procijenjeno kao funkcionalno, a samo jedan prototip je bio sposoban zaobići ASLR.
Nadalje, izvršni direktor Cloudflarea izvijestio je da kompanija bilježi milione pokušaja iskorištavanja ranjivosti PHP2Shell-a, u poređenju sa hiljadama takvih pokušaja 10 sati prije nego što je ranjivost objavljena i stotinama hiljada dva sata nakon službenog otkrivanja. Očigledno je da napadi koriste prototipove exploita koji detektuju samo prisustvo ranjivih verzija PHP-a, jer nema potvrđenih slučajeva hakovanja putem ranjivosti PHP2Shell-a.
Prema Amazonu, prvi pokušaji eksploatacije otkriveni su od strane raspoređenih honeypot sistema već 17. oktobra, tri dana prije nego što su procurili početni CVE identifikatori. Aktivnost se intenzivirala 21. oktobra, 12 sati prije objavljivanja PHP zakrpe, tokom kojeg su otkriveni pokušaji napada korištenjem nekoliko varijanti prototipa eksploitacije. Hadrian je također otkrio pokušaje napada prije zvaničnog otkrivanja.
izvor: opennet.ru
