Ερευνητές από το VulnCheck ανακοίνωσαν το πρώτο exploit για την ευπάθεια PHP2Shell (CVE-2026-109618b), η οποία παρακάμπτει τον μηχανισμό τυχαιοποίησης χώρου διευθύνσεων (ASLR) σε συστήματα x86-64 με τυπική διαμόρφωση PHP. Το exploit επιτρέπει στους εισβολείς να επιτίθενται σε συστήματα που εκτελούν PHP 8.4.10-8.4.26 σε προεπιλεγμένες διαμορφώσεις. Προηγουμένως, η δυσκολία προσδιορισμού της διάταξης μνήμης στη μονάδα mod_php εμπόδιζε την εφαρμογή ενός exploit που θα επέτρεπε την εκτέλεση κώδικα σε πραγματικά συστήματα. Για να παρακάμψει το ASLR, το exploit χρησιμοποιεί μια διαρροή διεύθυνσης στον κώδικα εμφάνισης σφάλματος.
Η πρόσβαση στο λειτουργικό exploit αναφέρεται ότι περιορίζεται σε υπολογιστές-πελάτες ασφάλειας πληροφοριών, αλλά οι εισβολείς μπορούν να αναδημιουργήσουν την τεχνική χρησιμοποιώντας τεχνητή νοημοσύνη. Για να παρακάμψετε τη διαρροή αντιστοίχισης URL, ορίστε την παράμετρο "display_errors=off" στο php.ini, εκτός από τις προηγουμένως δημοσιευμένες συστάσεις. Το VulnCheck σημειώνει επίσης ότι εκατοντάδες πρωτότυπα exploit έχουν εμφανιστεί στο GitHub, αλλά μόνο μερικά έχουν αξιολογηθεί ως λειτουργικά και μόνο ένα πρωτότυπο ήταν ικανό να παρακάμψει το ASLR.
Επιπλέον, ο Διευθύνων Σύμβουλος της Cloudflare ανέφερε ότι η εταιρεία καταγράφει εκατομμύρια προσπάθειες εκμετάλλευσης της ευπάθειας PHP2Shell, σε σύγκριση με χιλιάδες τέτοιες προσπάθειες 10 ώρες πριν από την ανακοίνωση της ευπάθειας και εκατοντάδες χιλιάδες δύο ώρες μετά την επίσημη αποκάλυψη. Προφανώς, οι επιθέσεις χρησιμοποιούν πρωτότυπα exploits που ανιχνεύουν μόνο την παρουσία ευάλωτων εκδόσεων PHP, καθώς δεν υπάρχουν επιβεβαιωμένες περιπτώσεις hacking μέσω ευπαθειών του PHP2Shell.
Σύμφωνα με την Amazon, οι πρώτες απόπειρες εκμετάλλευσης εντοπίστηκαν από συστήματα honeypot που αναπτύχθηκαν ήδη από τις 17 Οκτωβρίου, τρεις ημέρες πριν από τη διαρροή των αρχικών αναγνωριστικών CVE. Η δραστηριότητα εντάθηκε στις 21 Οκτωβρίου, 12 ώρες πριν από την κυκλοφορία της ενημέρωσης κώδικα PHP, κατά τη διάρκεια της οποίας εντοπίστηκαν απόπειρες επίθεσης χρησιμοποιώντας διάφορες παραλλαγές πρωτοτύπων exploit. Ο Hadrian εντόπισε επίσης απόπειρες επίθεσης πριν από την επίσημη αποκάλυψη.
Πηγή: opennet.ru
