Forscher von VulnCheck haben den ersten Exploit für die PHP2Shell-Sicherheitssanfälligkeit (CVE-2026-109618), der den Address Space Layout Randomization (ASLR)-Mechanismus auf x86-64-Systemen mit typischen PHP-Konfigurationen umgeht, gemeldet. Der Exploit ermöglicht Angriffe auf Systeme mit PHP 8.4.10-8.4.26 in der Standardkonfiguration. Zuvor erschwerte die Schwierigkeit, das Speicherlayout im mod_php-Modul zu bestimmen, die Umsetzung eines Exploits, der die Ausführung von Code auf realen Systemen ermöglichen könnte. Um ASLR zu umgehen, nutzt der Exploit einen Leak von Adressinformationen im Fehlerberichterstattungs-Code.
Es wird berichtet, dass der Zugang zu einem funktionierenden Exploit lediglich Kunden gewährt wird, die sich mit Informationssicherheit beschäftigen, obwohl Angreifer die verwendete Technik mit Hilfe von KI reproduzieren können. Um den Leak von Adresslayout-Informationen zu blockieren, sollte im php.ini der Parameter „display_errors=off“ gesetzt werden, zusätzlich zu den zuvor veröffentlichten Empfehlungen. VulnCheck erwähnt ebenfalls, dass auf GitHub Hunderte von Exploit-Prototypen aufgetaucht sind, von denen jedoch nur wenige als funktionsfähig bewertet wurden und nur ein Prototyp in der Lage war, ASLR zu umgehen.
Darüber hinaus teilte der Direktor von Cloudflare mit, dass das Unternehmen Millionen von Versuchen zur Ausnutzung der PHP2Shell-Sicherheitssanfälligkeit verzeichnet, wobei bereits 10 Stunden vor der Ankündigung der Sicherheitsanfälligkeiten Tausende solcher Versuche stattgefunden hatten und nach 2 Stunden nach der offiziellen Bekanntgabe bereits Hunderte Tausende erreicht wurden. Anscheinend werden bei den Angriffen Prototypen von Exploits verwendet, die lediglich die Existenz verletzlicher PHP-Versionen erkennen, da es bislang keine Informationen über bestätigte Hacks über die PHP2Shell-Sicherheitsanfälligkeiten gibt.
Laut Amazon wurden die ersten Versuche zur Ausnutzung von ausgelegten Honeypot-Systemen bereits am 17. Oktober erfasst, d.h. 3 Tage vor der Leckage der ersten Informationen über die CVE-IDs. Die Aktivität nahm am 21. Oktober zu, 12 Stunden vor der Veröffentlichung der Korrekturen für PHP, wobei in dieser Zeit Versuche von Angriffen mit verschiedenen Exploit-Prototypen festgehalten wurden. Angriffsversuche vor der offiziellen Bekanntgabe wurden auch von der Firma Hadrian registriert.
Quelle: opennet.ru
