Rannsakendur frá VulnCheck tilkynntu fyrstu gagnapakkann fyrir PHP2Shell veikleikann (CVE-2026-109618b), sem fer framhjá slembivalskerfinu fyrir vistfangsrými (ASLR) á x86-64 kerfum með dæmigerðri PHP stillingu. Gagnapakkann gerir árásarmönnum kleift að ráðast á kerfi sem keyra PHP 8.4.10-8.4.26 í sjálfgefnum stillingum. Áður kom erfiðleikinn við að ákvarða minnisuppsetninguna í mod_php einingunni í veg fyrir að hægt væri að útfæra gagnapakka sem leyfði keyrslu kóða á raunverulegum kerfum. Til að komast framhjá ASLR notar gagnapakkann vistfangsleka í villukóðanum.
Aðgangur að virka nýtingarárásinni er sagður vera takmarkaður við upplýsingaöryggisnotendur, en árásarmenn geta endurskapað aðferðina með gervigreind. Til að komast hjá leka í vefslóðavörpun skal stilla breytuna "display_errors=off" í php.ini, auk þess sem áður hefur verið birt ráð. VulnCheck bendir einnig á að hundruðir frumgerða af nýtingarárásum hafi birst á GitHub, en aðeins fáar hafi verið metnar sem virkar og aðeins ein frumgerð gat komist fram hjá ASLR.
Ennfremur greindi forstjóri Cloudflare frá því að fyrirtækið væri að skrá milljónir tilrauna til að nýta sér PHP2Shell veikleikann, samanborið við þúsundir slíkra tilrauna 10 klukkustundum áður en tilkynnt var um veikleikann og hundruð þúsunda tveimur klukkustundum eftir að hann var opinberlega birtur. Greinilega eru árásirnar að nota frumgerðaárásir sem aðeins greina tilvist viðkvæmra PHP útgáfa, þar sem engin staðfest dæmi eru um tölvuárásir í gegnum PHP2Shell veikleika.
Samkvæmt Amazon voru fyrstu tilraunirnar til að misnota gögn greindar af kerfum sem voru sett upp með honeypot-tækni strax 17. október, þremur dögum áður en upphaflegu CVE-auðkennin voru lekið út. Virknin jókst 21. október, 12 klukkustundum fyrir útgáfu PHP-uppfærslunnar, og á þeim tíma voru greind árásartilraunir með nokkrum afbrigðum af misnotkunargögnum. Hadrian greindi einnig árásartilraunir áður en opinberlega var tilkynnt um gögnin.
Heimild: opennet.ru
