I ricercatori dell'azienda VulnCheck hanno annunciato di aver ottenuto il primo exploit per la vulnerabilità PHP2Shell (CVE-2026-109618b), che aggira il meccanismo di randomizzazione degli indirizzi (ASLR) sui sistemi x86-64 con configurazione PHP standard. L'exploit consente di attaccare sistemi con PHP 8.4.10-8.4.26 in configurazione predefinita. In precedenza, la difficoltà nel determinare la disposizione della memoria nel modulo mod_php ostacolava la realizzazione dell'exploit che permetteva di eseguire codice su sistemi reali. Per aggirare l'ASLR, l'exploit utilizza una fuga di informazioni sugli indirizzi nel codice di visualizzazione degli errori.
Si sostiene che l'accesso all'exploit funzionante sia stato fornito solo ai clienti che si occupano di sicurezza informatica, ma i malintenzionati possono ricreare la tecnica utilizzata con l'AI. Per il bypass del blocco della fuga di informazioni sulla disposizione degli indirizzi, è necessario impostare nel php.ini il parametro "display_errors=off", oltre alle raccomandazioni già pubblicate. VulnCheck menziona anche che su GitHub sono apparsi centinaia di prototipi di exploit, ma solo pochi sono stati valutati come funzionanti e solo un prototipo è riuscito ad aggirare l'ASLR.
Inoltre, il direttore di Cloudflare ha dichiarato che l'azienda sta registrando milioni di tentativi di sfruttamento della vulnerabilità PHP2Shell, con il fatto che 10 ore prima dell'annuncio della vulnerabilità c'erano già migliaia di tali tentativi, e dopo 2 ore dalla divulgazione ufficiale, questi tentativi hanno raggiunto centinaia di migliaia. A quanto pare, negli attacchi vengono utilizzati prototipi di exploit che registrano solo la presenza di versioni vulnerabili di PHP, poiché al momento non ci sono informazioni su casi confermati di hacking attraverso le vulnerabilità PHP2Shell.
Secondo quanto riportato da Amazon, i primi tentativi di sfruttamento sono stati registrati dai sistemi honeypot dispiegati già il 17 ottobre, cioè 3 giorni prima della fuga delle prime informazioni sugli identificativi CVE. L'attività è aumentata il 21 ottobre, a 12 ore dalla pubblicazione degli aggiornamenti correttivi di PHP, momento in cui sono stati registrati tentativi di attacco utilizzando diverse varianti di prototipi di exploit. Tentativi di attacco prima della divulgazione ufficiale sono stati registrati anche dall'azienda Hadrian.
Fonte: opennet.ru
