VulnCheck pētnieki paziņoja par pirmo PHP2Shell ievainojamības izmantošanu (CVE-2026-109618b), kas apiet adrešu telpas nejaušināšanas mehānismu (ASLR) x86-64 sistēmās ar tipisku PHP konfigurāciju. Šī izmantošana ļauj uzbrucējiem uzbrukt sistēmām, kurās darbojas PHP 8.4.10-8.4.26 noklusējuma konfigurācijās. Iepriekš grūtības noteikt atmiņas izkārtojumu mod_php modulī neļāva ieviest izmantošanu, kas ļautu izpildīt kodu reālās sistēmās. Lai apietu ASLR, izmantošana izmanto adreses noplūdi kļūdas attēlošanas kodā.
Tiek norādīts, ka piekļuve darbojošajam ekspluatācijas veidam ir ierobežota ar informācijas drošības klientiem, taču uzbrucēji var atjaunot šo metodi, izmantojot mākslīgo intelektu. Lai apietu URL kartēšanas noplūdi, papildus iepriekš publicētajiem ieteikumiem php.ini failā iestatiet parametru "display_errors=off". VulnCheck arī norāda, ka GitHub ir parādījušies simtiem ekspluatācijas veidu prototipu, taču tikai daži ir novērtēti kā darbojošies, un tikai viens prototips spēja apiet ASLR.
Turklāt Cloudflare izpilddirektors ziņoja, ka uzņēmums reģistrē miljoniem mēģinājumu izmantot PHP2Shell ievainojamību, salīdzinot ar tūkstošiem šādu mēģinājumu 10 stundas pirms ievainojamības paziņošanas un simtiem tūkstošu divas stundas pēc oficiālās atklāšanas. Acīmredzot uzbrukumos tiek izmantoti prototipu izmantošanas veidi, kas nosaka tikai ievainojamu PHP versiju klātbūtni, jo nav apstiprinātu PHP2Shell ievainojamību uzlaušanas gadījumu.
Saskaņā ar Amazon sniegto informāciju, pirmie uzbrukuma mēģinājumi tika atklāti izvietotajās "homepot" sistēmās jau 17. oktobrī, trīs dienas pirms sākotnējo CVE identifikatoru noplūdes. Aktivitāte pastiprinājās 21. oktobrī, 12 stundas pirms PHP ielāpa izlaišanas, kuru laikā tika atklāti uzbrukuma mēģinājumi, izmantojot vairākus uzbrukuma prototipa variantus. Arī Hadrian atklāja uzbrukuma mēģinājumus pirms oficiālās atklāšanas.
Avots: opennet.ru
