محققان VulnCheck اولین بهره‌برداری از آسیب‌پذیری PHP2Shell (CVE-2026-109618b) را اعلام کردند که مکانیسم تصادفی‌سازی فضای آدرس (ASLR) را در سیستم‌های x86-64 با پیکربندی معمولی PHP دور می‌زند. این بهره‌برداری به مهاجمان اجازه می‌دهد تا به سیستم‌هایی که PHP 8.4.10-8.4.26 را در پیکربندی‌های پیش‌فرض اجرا می‌کنند، حمله کنند. پیش از این، دشواری تعیین چیدمان حافظه در ماژول mod_php مانع از پیاده‌سازی بهره‌برداری می‌شد که امکان اجرای کد را در سیستم‌های واقعی فراهم می‌کرد. برای دور زدن ASLR، این بهره‌برداری از نشت آدرس در کد نمایش خطا استفاده می‌کند.
گفته می‌شود دسترسی به این اکسپلویتِ در حال کار، محدود به کلاینت‌های امنیت اطلاعات است، اما مهاجمان می‌توانند این تکنیک را با استفاده از هوش مصنوعی بازسازی کنند. برای دور زدن نشت نگاشت URL، علاوه بر توصیه‌های منتشر شده قبلی، پارامتر "display_errors=off" را در php.ini تنظیم کنید. VulnCheck همچنین خاطرنشان می‌کند که صدها نمونه اولیه اکسپلویت در GitHub ظاهر شده‌اند، اما تنها تعداد کمی از آنها به عنوان نمونه اولیه در حال کار ارزیابی شده‌اند و تنها یک نمونه اولیه قادر به دور زدن ASLR بوده است.
علاوه بر این، مدیرعامل Cloudflare گزارش داد که این شرکت میلیون‌ها تلاش برای سوءاستفاده از آسیب‌پذیری PHP2Shell را ثبت کرده است، در حالی که این تعداد، ۱۰ ساعت قبل از اعلام آسیب‌پذیری، هزاران و دو ساعت پس از افشای رسمی، صدها هزار مورد بوده است. ظاهراً این حملات از نمونه‌های اولیه‌ی سوءاستفاده‌هایی استفاده می‌کنند که فقط وجود نسخه‌های آسیب‌پذیر PHP را تشخیص می‌دهند، زیرا هیچ مورد تأیید شده‌ای از هک شدن از طریق آسیب‌پذیری‌های PHP2Shell وجود ندارد.
طبق گفته آمازون، اولین تلاش‌های بهره‌برداری توسط سیستم‌های هانی‌پات مستقر در اوایل ۱۷ اکتبر، سه روز قبل از افشای شناسه‌های اولیه CVE، شناسایی شد. فعالیت در ۲۱ اکتبر، ۱۲ ساعت قبل از انتشار وصله PHP، شدت گرفت و در این مدت تلاش‌های حمله با استفاده از چندین نمونه اولیه بهره‌برداری شناسایی شد. هادریان همچنین تلاش‌های حمله را قبل از افشای رسمی شناسایی کرد.
منبع: opennet.ru
