„VulnCheck“ tyrėjai paskelbė apie pirmąjį PHP2Shell pažeidžiamumo (CVE-2026-109618b) išnaudojimą, kuris apeina adresų erdvės atsitiktinės atrankos mechanizmą (ASLR) x86-64 sistemose su tipine PHP konfigūracija. Šis išnaudojimas leidžia užpuolikams atakuoti sistemas, kuriose veikia PHP 8.4.10–8.4.26 su numatytosiomis konfigūracijomis. Anksčiau sunkumai nustatant atminties išdėstymą mod_php modulyje neleido įdiegti išnaudojimo, kuris leistų vykdyti kodą realiose sistemose. Norėdamas apeiti ASLR, išnaudojimas naudoja adreso nutekėjimą klaidos rodymo kode.
Teigiama, kad prieiga prie veikiančio spragų išnaudojimo turima tik informacijos saugumo klientams, tačiau užpuolikai gali atkurti šią techniką naudodami dirbtinį intelektą. Norint apeiti URL susiejimo nutekėjimą, reikia nustatyti parametrą „display_errors=off“ php.ini faile, be anksčiau paskelbtų rekomendacijų. „VulnCheck“ taip pat pažymi, kad „GitHub“ pasirodė šimtai spragų išnaudojimo prototipų, tačiau tik keli iš jų buvo įvertinti kaip veikiantys, ir tik vienas prototipas sugebėjo apeiti ASLR.
Be to, „Cloudflare“ generalinis direktorius pranešė, kad bendrovė fiksuoja milijonus bandymų išnaudoti PHP2Shell pažeidžiamumą, palyginti su tūkstančiais tokių bandymų 10 valandų iki pažeidžiamumo paskelbimo ir šimtais tūkstančių praėjus dviem valandoms po oficialaus atskleidimo. Matyt, atakose naudojami prototipiniai išnaudojimai, kurie aptinka tik pažeidžiamų PHP versijų buvimą, nes nėra patvirtintų įsilaužimo per PHP2Shell pažeidžiamumus atvejų.
„Amazon“ teigimu, pirmuosius bandymus išnaudoti atakas „honeypot“ sistemose aptiko jau spalio 17 d., tris dienas prieš nutekinant pradinius CVE identifikatorius. Veikla suintensyvėjo spalio 21 d., 12 valandų prieš PHP pataisos išleidimą, per tą laiką buvo aptikti atakų bandymai, naudojant kelis išnaudojimo prototipų variantus. „Hadrian“ taip pat aptiko atakų bandymus prieš oficialų atskleidimą.
Šaltinis: opennet.ru
