Forskere fra VulnCheck annonserte den første utnyttelsen for PHP2Shell-sårbarheten (CVE-2026-109618b), som omgår adresseromsrandomiseringsmekanismen (ASLR) på x86-64-systemer med en typisk PHP-konfigurasjon. Utnyttelsen lar angripere angripe systemer som kjører PHP 8.4.10-8.4.26 i standardkonfigurasjoner. Tidligere forhindret vanskeligheten med å bestemme minneoppsettet i mod_php-modulen implementeringen av en utnyttelse som ville tillate kodekjøring på virkelige systemer. For å omgå ASLR bruker utnyttelsen en adresselekkasje i feilvisningskoden.
Tilgang til den fungerende angrepsfeilen er oppgitt å være begrenset til informasjonssikkerhetsklienter, men angripere kan gjenskape teknikken ved hjelp av AI. For å omgå URL-kartleggingslekkasjen, sett parameteren "display_errors=off" i php.ini, i tillegg til tidligere publiserte anbefalinger. VulnCheck bemerker også at hundrevis av angrepsprototyper har dukket opp på GitHub, men bare noen få har blitt vurdert som fungerende, og bare én prototype var i stand til å omgå ASLR.
Videre rapporterte Cloudflares administrerende direktør at selskapet registrerer millioner av forsøk på å utnytte PHP2Shell-sårbarheten, sammenlignet med tusenvis av slike forsøk 10 timer før sårbarheten ble annonsert, og hundretusenvis to timer etter den offisielle avsløringen. Angrepene bruker visstnok prototypeutnyttelser som bare oppdager tilstedeværelsen av sårbare PHP-versjoner, ettersom det ikke finnes bekreftede tilfeller av hacking gjennom PHP2Shell-sårbarheter.
Ifølge Amazon ble de første forsøkene på utnyttelse oppdaget av distribuerte honeypot-systemer så tidlig som 17. oktober, tre dager før de første CVE-identifikatorene ble lekket. Aktiviteten intensiverte seg 21. oktober, 12 timer før PHP-oppdateringen ble lansert, og i løpet av denne tiden ble det oppdaget angrepsforsøk med flere varianter av utnyttelsesprototypene. Hadrian oppdaget også angrepsforsøk før den offisielle avsløringen.
Kilde: opennet.ru
