VulnCheckの研究者らは、PHP2Shellの脆弱性（CVE-2026-109618b）に対する初のエクスプロイトを発表しました。このエクスプロイトは、一般的なPHP構成のx86-64システムにおけるアドレス空間ランダム化メカニズム（ASLR）をバイパスします。このエクスプロイトにより、攻撃者はデフォルト構成でPHP 8.4.10～8.4.26を実行しているシステムを攻撃できます。これまで、mod_phpモジュールのメモリレイアウトを特定することが困難であったため、実際のシステムでコード実行を可能にするエクスプロイトの実装は不可能でした。このエクスプロイトは、ASLRをバイパスするために、エラー表示コードのアドレスリークを利用しています。
動作するエクスプロイトへのアクセスは情報セキュリティ関連のクライアントに限定されているとされていますが、攻撃者はAIを使用してこの手法を再現できます。URLマッピングの漏洩を回避するには、以前に公開された推奨事項に加えて、php.iniで「display_errors=off」パラメータを設定してください。VulnCheckはまた、GitHubに数百ものエクスプロイトのプロトタイプが登場しているものの、動作が確認されたのはごくわずかで、ASLRを回避できたプロトタイプは1つだけだったと指摘しています。
さらに、CloudflareのCEOは、PHP2Shellの脆弱性を悪用しようとする試みが数百万件に上ると報告した。これは、脆弱性が公表される10時間前の数千件、公表2時間後の数十万件と比較して大幅な増加である。PHP2Shellの脆弱性を悪用したハッキングの成功例は確認されていないことから、これらの攻撃は脆弱なPHPバージョンの存在のみを検出するプロトタイプのエクスプロイトを使用しているようだ。
Amazonによると、最初の攻撃試行は、最初のCVE識別子が漏洩する3日前の10月17日という早い時期に、配備されたハニーポットシステムによって検知された。活動は10月21日、PHPパッチのリリース12時間前に激化し、その間に複数のエクスプロイトプロトタイプを使用した攻撃試行が検知された。Hadrianも公式発表前に攻撃試行を検知していた。
出所： オープンネット.ru
