PHP2Shell 취약점에 대한 주소 무작위화 우회 공격법이 처음으로 발표되었습니다.

VulnCheck 연구진은 일반적인 PHP 구성에서 x86-64 시스템의 주소 공간 무작위화 메커니즘(ASLR)을 우회하는 PHP2Shell 취약점(CVE-2026-109618b)에 대한 첫 번째 익스플로잇을 발표했습니다. 이 익스플로잇을 통해 공격자는 기본 구성으로 실행되는 PHP 8.4.10~8.4.26 버전을 공격할 수 있습니다. 이전에는 mod_php 모듈의 메모리 레이아웃을 파악하기 어려워 실제 시스템에서 코드 실행을 허용하는 익스플로잇을 구현할 수 없었습니다. ASLR을 우회하기 위해 이 익스플로잇은 오류 표시 코드의 주소 유출을 이용합니다.

해당 취약점을 이용한 공격은 정보 보안 담당자에게만 접근이 허용된다고 명시되어 있지만, 공격자는 AI를 사용하여 해당 기법을 재현할 수 있습니다. URL 매핑 유출을 우회하려면 기존에 제시된 권장 사항 외에도 php.ini 파일에서 "display_errors=off" 매개변수를 설정해야 합니다. VulnCheck는 또한 GitHub에 수백 개의 익스플로잇 프로토타입이 등장했지만, 실제로 작동하는 것으로 평가된 것은 소수에 불과하며, 그중 ASLR을 우회할 수 있는 프로토타입은 단 하나뿐이라고 지적합니다.

또한 클라우드플레어의 CEO는 PHP2Shell 취약점을 악용하려는 시도가 수백만 건에 달했다고 밝혔습니다. 이는 취약점 발표 10시간 전의 수천 건에 비해 크게 증가한 수치이며, 공식 발표 2시간 후에는 수십만 건으로 급증했습니다. 공격자들은 취약한 PHP 버전만 감지하는 프로토타입 익스플로잇을 사용하고 있는 것으로 보이며, PHP2Shell 취약점을 통한 해킹 사례는 아직 확인되지 않았습니다.

아마존에 따르면, 첫 번째 공격 시도는 최초 CVE 식별자가 유출되기 3일 전인 10월 17일에 배포된 허니팟 시스템을 통해 감지되었습니다. 활동은 PHP 패치 배포 12시간 전인 10월 21일에 더욱 활발해졌으며, 이 기간 동안 여러 변형된 익스플로잇을 사용한 공격 시도가 감지되었습니다. 하드리안(Hadrian)은 공식 발표 이전에도 공격 시도를 감지했습니다.

출처 : opennet.ru