Para peneliti dari VulnCheck mengumumkan eksploitasi pertama untuk kerentanan PHP2Shell (CVE-2026-109618b), yang melewati mekanisme pengacakan ruang alamat (ASLR) pada sistem x86-64 dengan konfigurasi PHP standar. Eksploitasi ini memungkinkan penyerang untuk menyerang sistem yang menjalankan PHP 8.4.10-8.4.26 dalam konfigurasi default. Sebelumnya, kesulitan dalam menentukan tata letak memori di modul mod_php mencegah implementasi eksploitasi yang memungkinkan eksekusi kode pada sistem nyata. Untuk melewati ASLR, eksploitasi ini menggunakan kebocoran alamat dalam kode tampilan kesalahan.
Akses ke exploit yang berfungsi dinyatakan terbatas pada klien keamanan informasi, tetapi penyerang dapat menciptakan kembali teknik tersebut menggunakan AI. Untuk melewati kebocoran pemetaan URL, atur parameter "display_errors=off" di php.ini, di samping rekomendasi yang telah diterbitkan sebelumnya. VulnCheck juga mencatat bahwa ratusan prototipe exploit telah muncul di GitHub, tetapi hanya beberapa yang dinilai berfungsi, dan hanya satu prototipe yang mampu melewati ASLR.
Selain itu, CEO Cloudflare melaporkan bahwa perusahaan mencatat jutaan upaya untuk mengeksploitasi kerentanan PHP2Shell, dibandingkan dengan ribuan upaya serupa 10 jam sebelum kerentanan diumumkan, dan ratusan ribu dua jam setelah pengungkapan resmi. Rupanya, serangan tersebut menggunakan prototipe eksploitasi yang hanya mendeteksi keberadaan versi PHP yang rentan, karena belum ada kasus peretasan yang dikonfirmasi melalui kerentanan PHP2Shell.
Menurut Amazon, upaya eksploitasi pertama terdeteksi oleh sistem honeypot yang telah diterapkan sejak 17 Oktober, tiga hari sebelum identifikasi CVE awal bocor. Aktivitas meningkat pada 21 Oktober, 12 jam sebelum rilis patch PHP, di mana upaya serangan menggunakan beberapa varian prototipe exploit terdeteksi. Hadrian juga mendeteksi upaya serangan sebelum pengungkapan resmi.
Sumber: opennet.ru
