VulnCheck'i teadlased teatasid, et nad on saanud esmakordselt PHP2Shell (CVE-2026-109618b) haavatavuse jaoks exploiti, mis suudab ületada aadresside aadresside randomiseerimise (ASLR) mehhanismi x86-64 süsteemides, millel on tüüpiline PHP konfiguratsioon. Exploit võimaldab rünnata süsteeme, millel on PHP 8.4.10-8.4.26 vaikeseadistuses. Varasemalt takistas mälulayouti kindlakstegemine mod_php moodulis exploiti teostamist, mis võimaldaks koodi täitmist reaalsetes süsteemides. ASLR-i ületamiseks kasutatakse exploitis aadresside lekkeid vigade kuvamise kodeeringus.
On teatatud, et juurdepääs töötavale exploiti on antud ainult teabe kaitsega tegelevatele klientidele, kuid pahatahtlikud isikud võivad kasutada AI-d kasutatava tehnika rekonstrueerimiseks. Aadresside mälulayouti lekke blokeerimiseks tuleks php.ini seadetes seada parameeter "display_errors=off", lisaks varasemalt avaldatud soovitustele. VulnCheck mainib ka, et GitHubis on ilmnenud sadu exploiti prototüüpe, kuid ainult vähesed on hinnatud töötavateks ja ainult üks prototüüp suutis ASLR-i ületada.
Lisaks teatas Cloudflare'i direktor, et ettevõte on tuvastanud miljoneid katseid PHP2Shell haavatavuste ärakasutamiseks, samas kui 10 tundi enne haavatavuse avastamisest teavitamist oli selliseid katseid juba tuhandeid ning 2 tundi pärast ametlikku teavitamist jõudsid need sadadesse tuhandetesse. Näib, et rünnakutes kasutatakse exploiti prototüüpe, mis lihtsalt tuvastavad haavatavaid PHP versioone, kuna praegu pole kinnitatud andmeid PHP2Shell haavatavuste kaudu toimuva rünnaku kohta.
Amazon'i andmetel registreeriti esimesed exploiti katsetused juba 17. oktoobril rakendatud honeypot-süsteemide kaudu, st 3 päeva enne esialgsete CVE identifikaatorite lekkeid. Aktiivsus kasvas 21. oktoobril, 12 tundi enne PHP paranduste avaldamist, sel ajal tuvastati rünnakukatsed, mis hõlmasid mitmeid exploiti prototüüpe. Hadrian'i ettevõte registreeris rünnakukatsed enne ametlikku teavitamist.
Allikas: opennet.ru
