VulnCheckin tutkijat ilmoittivat ensimmäisestä PHP2Shell-haavoittuvuuden (CVE-2026-109618b) hyväksikäytöstä, joka ohittaa osoiteavaruuden satunnaistamismekanismin (ASLR) x86-64-järjestelmissä tyypillisellä PHP-kokoonpanolla. Hyökkäys mahdollistaa hyökkääjien hyökätä järjestelmiin, joissa on PHP 8.4.10-8.4.26 oletuskokoonpanoissa. Aiemmin muistiasettelun määrittämisen vaikeus mod_php-moduulissa esti sellaisen hyväksikäytön toteuttamisen, joka olisi mahdollistanut koodin suorittamisen oikeissa järjestelmissä. ASLR:n ohittamiseksi hyväksikäyttö käyttää osoitevuotoa virhenäyttökoodissa.
Toimivan hyökkäyshaavoittuvuuden käytön sanotaan rajoittuvan tietoturva-asiakkaisiin, mutta hyökkääjät voivat luoda tekniikan uudelleen tekoälyn avulla. URL-kartoitusvuodon voi ohittaa asettamalla php.ini-tiedostossa parametrin "display_errors=off" aiemmin julkaistujen suositusten lisäksi. VulnCheck huomauttaa myös, että satoja hyökkäysprototyyppejä on ilmestynyt GitHubiin, mutta vain muutaman on arvioitu toimivaksi ja vain yksi prototyyppi pystyi ohittamaan ASLR:n.
Lisäksi Cloudflaren toimitusjohtaja kertoi, että yhtiö on kirjannut miljoonia yrityksiä hyödyntää PHP2Shell-haavoittuvuutta, kun kymmenen tuntia ennen haavoittuvuuden julkistamista vastaavia yrityksiä oli tuhansia ja kaksi tuntia virallisen julkistuksen jälkeen satoja tuhansia. Hyökkäykset ilmeisesti käyttävät prototyyppihyväksymiskeinoja, jotka havaitsevat vain haavoittuvien PHP-versioiden olemassaolon, koska ei ole vahvistettuja tapauksia PHP2Shell-haavoittuvuuksien kautta tapahtuvasta hakkeroinnista.
Amazonin mukaan ensimmäiset hyökkäysyritykset havaittiin käyttöönotetuilla hunajapurkkijärjestelmillä jo 17. lokakuuta, kolme päivää ennen alkuperäisten CVE-tunnisteiden vuotamista. Toiminta kiihtyi 21. lokakuuta, 12 tuntia ennen PHP-korjauksen julkaisua, jolloin havaittiin hyökkäysyrityksiä useilla hyökkäysprototyyppivarianteilla. Myös Hadrian havaitsi hyökkäysyrityksiä ennen virallista paljastusta.
Lähde: opennet.ru
