VulnCheck-ийн судлаачид PHP2Shell эмзэг байдлын анхны эксплойтийг (CVE-2026-109618b) зарласан бөгөөд энэ нь ердийн PHP тохиргоотой x86-64 системүүд дээр хаягийн орон зайн санамсаргүй байдлын механизмыг (ASLR) тойрч гардаг. Энэхүү эксплойт нь халдагчид анхдагч тохиргоонд PHP 8.4.10-8.4.26 ажиллаж байгаа системүүдэд халдах боломжийг олгодог. Өмнө нь mod_php модульд санах ойн байршлыг тодорхойлоход бэрхшээлтэй байсан нь бодит системүүд дээр код гүйцэтгэх боломжийг олгодог эксплойтыг хэрэгжүүлэхэд саад болж байсан. ASLR-ийг тойрч гарахын тулд эксплойт нь алдааны дэлгэцийн кодонд хаягийн алдагдлыг ашигладаг.
Ажиллаж буй эксплойт руу нэвтрэх эрхийг мэдээллийн аюулгүй байдлын үйлчлүүлэгчид хязгаарладаг гэж мэдэгдсэн боловч халдагчид хиймэл оюун ухаан ашиглан уг аргыг дахин бүтээж чадна. URL mapping алдагдлыг тойрч гарахын тулд өмнө нь нийтэлсэн зөвлөмжүүдээс гадна php.ini файлд "display_errors=off" параметрийг тохируулна уу. VulnCheck мөн GitHub дээр олон зуун эксплойт прототипүүд гарч ирсэн боловч цөөхөн хэд нь ажиллаж байна гэж үнлэгдсэн бөгөөд зөвхөн нэг прототип нь ASLR-ийг тойрч гарах чадвартай болохыг тэмдэглэжээ.
Цаашилбал, Cloudflare-ийн гүйцэтгэх захирал тус компани PHP2Shell эмзэг байдлыг ашиглах сая сая оролдлогыг бүртгэж байгаа гэж мэдээлсэн бол эмзэг байдлыг зарлахаас 10 цагийн өмнө мянга мянган, албан ёсны мэдээлэл гарснаас хойш хоёр цагийн дараа хэдэн зуун мянган ийм оролдлого бүртгэгдсэн байна. PHP2Shell эмзэг байдлыг хакердсан батлагдсан тохиолдол байхгүй тул халдлага нь зөвхөн эмзэг PHP хувилбаруудыг илрүүлдэг туршилтын эксплойтуудыг ашиглаж байгаа бололтой.
Amazon-ы мэдээлснээр, анхны CVE танигч алдагдсанаас гурван хоногийн өмнө буюу 10-р сарын 17-нд байршуулсан honeypot системүүд анхны ашиглалтын оролдлогуудыг илрүүлсэн байна. PHP нөхөөс гарахаас 12 цагийн өмнө буюу 10-р сарын 21-нд идэвхжил эрчимжсэн бөгөөд энэ үеэр хэд хэдэн ашиглалтын загварын хувилбаруудыг ашиглан цагийн халдлага хийхийг оролдсон тохиолдлууд илэрсэн байна. Хадриан мөн албан ёсны мэдээлэл гарахаас өмнө халдлагын оролдлогуудыг илрүүлсэн.
Эх сурвалж: opennet.ru
