A VulnCheck kutatói bejelentették, hogy megszerezték az első exploitot a PHP2Shell (CVE-2026-109618b) sebezhetőséghez, amely megkerüli az címek randomizálási mechanizmust (ASLR) az x86-64 rendszerű, alapértelmezett PHP konfigurációval rendelkező rendszereken. Az exploit lehetővé teszi a PHP 8.4.10-8.4.26 verzióban lévő rendszerek támadását az alapértelmezett konfigurációban. Korábban a memória elrendezésének meghatározásának nehézsége a mod_php modulban akadályozta az exploit megvalósítását, amely lehetővé tette a kód végrehajtását valós rendszereken. Az ASLR megkerülésére az exploitban információs szivárgás révén történik a címek elrendezéséről a hibainformációk megjelenítési kódjában.
Bejelentették, hogy a működő exploit hozzáférése kizárólag az információvédelemmel foglalkozó ügyfelek számára áll rendelkezésre, de a támadók képesek lehetnek reprodukálni a használt technikát mesterséges intelligencia segítségével. Az információ elrendezésének kitettségét blokkoló megkerülő megoldás érdekében a php.ini fájlban a 'display_errors=off' paramétert kell beállítani, a korábban közzétett ajánlások mellett. A VulnCheck azt is megemlíti, hogy a GitHub-on több száz exploit prototípus jelent meg, de csak néhányat értékeltek működőképesnek, és csupán egy prototípus volt képes megkerülni az ASLR-t.
Ezen kívül a Cloudflare ügyvezetője jelezte, hogy a cég milliókat rögzít a PHP2Shell sebezhetőségeit kihasználó próbálkozásokból, amik közül már 10 órával az értesítés előtt is több ezer hasonló próbálkozás történt, míg 2 órával az információ hivatalos megosztása után számos ezerre nőtt a számuk. Úgy tűnik, hogy a támadások során a sebezhető PHP verziók meglétét rögzítő exploit prototípusokat használnak, mivel eddig nincs információ megerősített PHP2Shell sebezhetőségek általi betörésekről.
Az Amazon adatai szerint az első exploitálási próbálkozásokat a telepített honeypot rendszerek már október 17-én rögzítették, azaz 3 nappal az első CVE-azonosítók kiszivárgása előtt. A tevékenység október 21-én fokozódott, 12 órával a PHP javítófrissítéseinek közzététele előtt, ekkor támadási kísérleteket rögzítettek, különböző exploit prototípusok felhasználásával. A Hadrian cég is rögzítette a támadási próbálkozásokat a hivatalos információközlés előtt.
Forrás: opennet.ru
