Investigadores de VulnCheck anunciaron el primer exploit para la vulnerabilidad PHP2Shell (CVE-2026-109618b), que elude el mecanismo de aleatorización de direcciones (ASLR) en sistemas x86-64 con una configuración típica de PHP. Este exploit permite atacar sistemas con PHP 8.4.10-8.4.26 en configuración predeterminada. Anteriormente, la dificultad para determinar la disposición de la memoria en el módulo mod_php dificultaba la implementación de un exploit que permitiera la ejecución de código en sistemas reales. Para eludir ASLR, el exploit utiliza una filtración de información sobre direcciones en el código de visualización de errores.
Se afirmó que el acceso al exploit operativo se proporciona solamente a clientes que trabajen en protección de información, pero los atacantes pueden recrear la técnica utilizada con inteligencia artificial. Para eludir el bloqueo de filtraciones de información sobre la disposición de direcciones, se debe establecer en el php.ini el parámetro 'display_errors=off', además de las recomendaciones previamente publicadas. VulnCheck también menciona que han aparecido cientos de prototipos de exploits en GitHub, pero solo unos pocos han sido evaluados como operativos y solo un prototipo ha podido eludir ASLR.
Además, el director de Cloudflare informó que la compañía ha registrado millones de intentos de explotación de la vulnerabilidad PHP2Shell, mientras que, diez horas antes del anuncio de la existencia de las vulnerabilidades, ya había miles de intentos, y dos horas después de la divulgación oficial, alcanzaron cientos de miles. Parece que en los ataques se utilizan prototipos de exploits que solo verifican la existencia de versiones vulnerables de PHP, ya que aún no hay información sobre hechos confirmados de intrusión a través de las vulnerabilidades PHP2Shell.
Según Amazon, los primeros intentos de explotación fueron registrados por sistemas honeypot desplegados el 17 de octubre, es decir, tres días antes de la filtración de la primera información sobre los identificadores CVE. La actividad se intensificó el 21 de octubre, 12 horas antes de la publicación de actualizaciones de seguridad de PHP, momento en el cual se registraron intentos de ataque utilizando varios prototipos de exploits. La empresa Hadrian también documentó intentos de ataque antes de la divulgación oficial de información.
Fuente: opennet.ru
