Forskere fra VulnCheck har annonceret, at de har fået den første exploit for sårbarheden PHP2Shell (CVE-2026-109618b), der omgår adresse-randomisering (ASLR) på x86-64-systemer med standard PHP-konfiguration. Exploit'en gør det muligt at angribe systemer med PHP 8.4.10-8.4.26 i standardkonfiguration. Tidligere har vanskeligheder med at bestemme hukommelseslayoutet i mod_php-modulet hindret implementeringen af en exploit, der kunne opnå kodeudførelse på reelle systemer. Til at omgå ASLR i exploit'en anvendes en informationlækkage om adresser i fejlvisningskoden.
Der er rapporteret, at adgang til den fungerende exploit kun er givet til klienter, der arbejder med informationssikkerhed, men angribere kan genskabe den anvendte teknik ved hjælp af AI. For at omgå blokering af informationlækkagen om adresse-layoutet bør parameteren 'display_errors=off' indstilles i php.ini, ud over tidligere offentliggjorte anbefalinger. VulnCheck nævner også, at der er dukket hundredvis af exploit-prototyper op på GitHub, men kun få er vurderet som fungerende, og kun én prototype har været i stand til at omgå ASLR.
Derudover har direktøren for Cloudflare oplyst, at virksomheden registrerer millioner af forsøg på at udnytte sårbarheden PHP2Shell, idet der 10 timer før annonceringen af sårbarhederne allerede var tusindvis af sådanne forsøg, og to timer efter den officielle oplysning nåede antallet op på hundrede tusind. Det ser ud til, at angrebene bruger exploit-prototyper, der blot registrerer tilstedeværelsen af sårbare versioner af PHP, da der endnu ikke er information om bekræftede hændelser i forbindelse med udnyttelse af PHP2Shell-sårbarheder.
Ifølge Amazon er de første forsøg på at udnytte sårbarheden blevet registreret af implementerede honeypot-systemer allerede den 17. oktober, altså tre dage før lækagen af de første oplysninger om CVE-identifikatorerne. Aktiviteten blev intensiveret den 21. oktober, tolv timer før offentliggørelsen af sikkerhedsopdateringer til PHP, og på dette tidspunkt blev der registreret angreb med forskellige varianter af exploit-prototyper. Hadrian har også registreret angreb før den officielle oplysning.
Kilde: opennet.ru
