Onderzoekers van VulnCheck hebben gemeld dat ze de eerste exploit hebben ontwikkeld voor de kwetsbaarheid PHP2Shell (CVE-2026-109618b), die het address randomization scheme (ASLR) omzeilt op x86-64 systemen met de standaardconfiguratie van PHP. De exploit maakt het mogelijk om systemen met PHP 8.4.10-8.4.26 aan te vallen in de standaardconfiguratie. Eerder verhinderde de moeilijkheid om de geheugenschema's in de mod_php-module te identificeren de implementatie van een exploit die code-uitvoering op echte systemen mogelijk maakte. Om ASLR te omzeilen, maakt de exploit gebruik van een informatielek over adressen in de foutweergavecode.
Er is gemeld dat toegang tot de werkende exploit alleen is verleend aan klanten die zich bezighouden met informatiebeveiliging, maar aanvallers kunnen de gebruikte techniek met behulp van AI repliceren. Voor het omzeilen van het blokkeren van het informatielek over de adresschema's moet de parameter "display_errors=off" in php.ini worden ingesteld, naast de eerder gepubliceerde aanbevelingen. VulnCheck vermeldt ook dat er honderden prototypes van exploits op GitHub zijn verschenen, maar slechts enkele zijn beoordeeld als werkend en slechts Ć©Ć©n prototype kon ASLR omzeilen.
Daarnaast heeft de directeur van Cloudflare gemeld dat het bedrijf miljoenen pogingen tot exploitatie van de kwetsbaarheid PHP2Shell detecteert, terwijl er 10 uur voor de aankondiging van de kwetsbaarheid al duizenden van dergelijke pogingen waren, en twee uur na de officiƫle bekendmaking zijn het er honderdduizenden geworden. Het lijkt erop dat bij de aanvallen prototypes van exploits worden gebruikt die alleen de aanwezigheid van kwetsbare versies van PHP detecteren, aangezien er nog geen informatie is over bevestigde inbraken via de kwetsbaarheden van PHP2Shell.
Volgens Amazon zijn de eerste pogingen tot exploitatie gedetecteerd door uitgerolde honeypot-systemen nog op 17 oktober, dat is drie dagen voor het lekken van de eerste gegevens over de CVE-identificaties. De activiteit nam toe op 21 oktober, 12 uur voor de publicatie van correctieve PHP-updates, waarbij op dat moment pogingen tot aanvallen met verschillende varianten van prototypes van exploits werden geregistreerd. Ook Hadrian heeft pogingen tot aanvallen gedetecteerd vĆ³Ć³r de officiĆ«le bekendmaking.
Bron: opennet.ru
