חוקרים מ-VulnCheck הכריזו על הניצול הראשון לפגיעות PHP2Shell (CVE-2026-109618b), אשר עוקפת את מנגנון האקראיות של מרחב הכתובות (ASLR) במערכות x86-64 עם תצורת PHP טיפוסית. הניצול מאפשר לתוקפים לתקוף מערכות המריצות PHP 8.4.10-8.4.26 בתצורות ברירת מחדל. בעבר, הקושי בקביעת פריסת הזיכרון במודול mod_php מנע יישום של ניצול שיאפשר ביצוע קוד במערכות אמיתיות. כדי לעקוף את ASLR, הניצול משתמש בדליפת כתובות בקוד תצוגת השגיאה.
הגישה לניצול לרעה הפעיל מוגבלת ללקוחות אבטחת מידע, אך תוקפים יכולים לשחזר את הטכניקה באמצעות בינה מלאכותית. כדי לעקוף את דליפת מיפוי ה-URL, יש להגדיר את הפרמטר "display_errors=off" ב-php.ini, בנוסף להמלצות שפורסמו בעבר. VulnCheck מציין גם כי מאות אבות טיפוס של ניצול לרעה הופיעו ב-GitHub, אך רק מעטים הוערכו כפעילים, ורק אב טיפוס אחד היה מסוגל לעקוף את ASLR.
יתר על כן, מנכ"ל Cloudflare דיווח כי החברה רושמת מיליוני ניסיונות לנצל את הפגיעות של PHP2Shell, בהשוואה לאלפי ניסיונות כאלה 10 שעות לפני שהוכרזה הפגיעות, ומאות אלפי ניסיונות שעתיים לאחר הגילוי הרשמי. ככל הנראה, ההתקפות משתמשות בפרצות אב טיפוס שמזהות רק את נוכחותן של גרסאות PHP פגיעות, מכיוון שאין מקרים מאושרים של פריצה דרך פגיעויות PHP2Shell.
לפי אמזון, ניסיונות הניצול הראשונים זוהו על ידי מערכות תמיכה ב-honeypot כבר ב-17 באוקטובר, שלושה ימים לפני דליפת מזהי ה-CVE הראשוניים. הפעילות התגברה ב-21 באוקטובר, 12 שעות לפני שחרור תיקון ה-PHP, במהלכן זוהו ניסיונות תקיפה באמצעות מספר גרסאות אב טיפוס של ניצול. אדריאנוס גם זיהה ניסיונות תקיפה לפני הגילוי הרשמי.
מקור: OpenNet.ru
