Istraživači iz tvrtke VulnCheck objavili su prvi iskorištavanje ranjivosti PHP2Shell (CVE-2026-109618b), koja zaobilazi mehanizam randomizacije adresnog prostora (ASLR) na x86-64 sustavima s tipičnom PHP konfiguracijom. Iskorištavanje omogućuje napadačima napad na sustave koji koriste PHP 8.4.10-8.4.26 u zadanim konfiguracijama. Prije je poteškoća određivanja rasporeda memorije u modulu mod_php sprječavala implementaciju iskorištavanja koje bi omogućilo izvršavanje koda na stvarnim sustavima. Kako bi zaobišao ASLR, iskorištavanje koristi curenje adrese u kodu za prikaz pogreške.
Navodi se da je pristup radnom exploitu ograničen na klijente informacijske sigurnosti, ali napadači mogu ponovno stvoriti tehniku pomoću umjetne inteligencije. Da biste zaobišli curenje URL mapiranja, postavite parametar "display_errors=off" u php.ini, uz prethodno objavljene preporuke. VulnCheck također napominje da su se na GitHubu pojavile stotine prototipova exploita, ali samo je nekoliko procijenjeno kao funkcionalno, a samo je jedan prototip bio sposoban zaobići ASLR.
Nadalje, izvršni direktor Cloudflarea izvijestio je da tvrtka bilježi milijune pokušaja iskorištavanja ranjivosti PHP2Shell, u usporedbi s tisućama takvih pokušaja 10 sati prije nego što je ranjivost objavljena i stotinama tisuća dva sata nakon službenog otkrivanja. Očito je da napadi koriste prototipove iskorištavanja koji otkrivaju samo prisutnost ranjivih verzija PHP-a, budući da nema potvrđenih slučajeva hakiranja putem ranjivosti PHP2Shell.
Prema Amazonu, prvi pokušaji iskorištavanja otkriveni su od strane raspoređenih honeypot sustava već 17. listopada, tri dana prije nego što su procurili početni CVE identifikatori. Aktivnost se intenzivirala 21. listopada, 12 sati prije objavljivanja PHP zakrpe, tijekom kojih su otkriveni pokušaji napada korištenjem nekoliko varijanti prototipa iskorištavanja. Hadrian je također otkrio pokušaje napada prije službenog otkrivanja.
Izvor: opennet.ru
