Des chercheurs de VulnCheck ont annoncé avoir obtenu le premier exploit pour la vulnérabilité PHP2Shell (CVE-2026-109618), contournant le mécanisme de randomisation des adresses (ASLR) sur des systèmes x86-64 avec une configuration PHP standard. L'exploit permet d'attaquer des systèmes tournant sous PHP 8.4.10-8.4.26 dans la configuration par défaut. Auparavant, la difficulté de déterminer la disposition de la mémoire dans le module mod_php empêchait la mise en œuvre d'un exploit permettant d'exécuter du code sur des systèmes réels. Pour contourner l'ASLR, l'exploit utilise une fuite d'informations concernant les adresses dans le code d'affichage des erreurs.
Il est rapporté que l'accès à l'exploit opérationnel est fourni uniquement aux clients travaillant dans la sécurité de l'information, mais des attaquants pourraient reproduire la technique utilisée à l'aide de l'IA. Pour contourner le blocage de la fuite d'informations sur la disposition des adresses, il convient de définir dans php.ini le paramètre « display_errors=off », en plus des recommandations précédemment publiées. VulnCheck mentionne également que des centaines de prototypes d'exploits sont apparus sur GitHub, mais seuls quelques-uns sont évalués comme opérationnels et un seul prototype a réussi à contourner l'ASLR.
De plus, le directeur de Cloudflare a rapporté que la société constate des millions de tentatives d'exploitation de la vulnérabilité PHP2Shell, alors que, dix heures avant l'annonce des vulnérabilités, il y avait déjà des milliers de tentatives, et deux heures après la divulgation officielle, elles avaient atteint des centaines de milliers. Apparemment, les attaques utilisent des prototypes d'exploits qui ne font qu'identifier l'existence de versions vulnérables de PHP, car il n'y a pas encore d'informations sur des faits confirmés de piratage via les vulnérabilités PHP2Shell.
Selon Amazon, les premières tentatives d'exploitation ont été enregistrées par des systèmes honeypot déployés le 17 octobre, soit trois jours avant la fuite des premières informations sur les identifiants CVE. L'activité s'est intensifiée le 21 octobre, douze heures avant la publication des mises à jour correctives de PHP, pendant ce temps, des tentatives d'attaques utilisant plusieurs variantes de prototypes d'exploits ont été enregistrées. Hadrian a également enregistré des tentatives d'attaques avant la divulgation officielle d'informations.
Source : opennet.ru
