Výzkumníci z firmy VulnCheck oznámili, že získali první exploit pro zranitelnost PHP2Shell (CVE-2026-109618b), který obchází mechanismus randomizace adres (ASLR) na systémech x86-64 s standardní konfigurací PHP. Exploit umožňuje útok na systémy s PHP 8.4.10-8.4.26 v základní konfiguraci. Dříve komplikovala identifikaci rozložení paměti v modulu mod_php realizaci exploitu, který by umožnil provedení kódu na reálných systémech. K obcházení ASLR se v exploitu využívá únik informací o adresách ve výpisu chybových hlášení.
Bylo uvedeno, že přístup k pracovnímu exploitu je poskytnut pouze klientům, kteří se zabývají ochranou informací, avšak útočníci mohou rekonstrukci použité techniky provést pomocí AI. Aby se obcházely blokace úniku informací o rozložení adres, je nutné v php.ini nastavit parametr "display_errors=off", kromě dříve publikovaných doporučení. VulnCheck také zmiňuje, že na GitHubu se objevily stovky prototypů exploitů, ale pouze jednotky byly hodnoceny jako funkční a pouze jeden prototyp byl schopen obcházet ASLR.
Kromě toho ředitel Cloudflare uvedl, že společnost zaznamenává miliony pokusů o využití zranitelnosti PHP2Shell, přičemž 10 hodin před oznámením o existenci zranitelností jich bylo již tisíce a dvě hodiny po oficiálním odhalení dosáhly stovek tisíc. Zdá se, že při útocích jsou používány prototypy exploitů, které pouze potvrzují přítomnost zranitelných verzí PHP, protože dosud nejsou informace o potvrzených případech útoků skrze zranitelnosti PHP2Shell.
Podle dat společnosti Amazon byly první pokusy o exploitaci zaznamenány nasazenými honeypot systémy již 17. října, tedy tři dny před únikem prvních údajů o CVE identifikátorech. Aktivita se zvýšila 21. října, dvanáct hodin před publikováním opravující aktualizace PHP, kdy byl zaznamenán pokus o útok s využitím několika variant prototypů exploitů. Pokusy o útoky před oficiálním odhalením informací také zaznamenala společnost Hadrian.
Zdroj: opennet.ru
