Badacze z firmy VulnCheck ogłosili opracowanie pierwszego exploita dla luki PHP2Shell (CVE-2026-109618b), która omija mechanizm randomizacji adresów (ASLR) w systemach x86-64 z typową konfiguracją PHP. Exploit pozwala na atakowanie systemów z PHP w wersji 8.4.10-8.4.26 w domyślnej konfiguracji. Wcześniej trudność w określeniu układu pamięci w module mod_php uniemożliwiała realizację exploita, pozwalającego na wykonanie kodu w rzeczywistych systemach. W celu ominięcia ASLR exploit wykorzystuje wyciek informacji o adresach w kodzie wyświetlania informacji o błędach.
Podano, że dostęp do działającego exploita jest zapewniony tylko klientom zajmującym się ochroną informacji, ale przestępcy mogą odtworzyć stosowaną technikę za pomocą AI. Aby zablokować wyciek informacji o układzie adresów, należy ustawić w php.ini parametr „display_errors=off”, oprócz wcześniej opublikowanych zaleceń. VulnCheck wspomina również, że na GitHubie pojawiły się setki prototypów exploitów, z czego tylko nieliczne oceniono jako działające, a tylko jeden prototyp był w stanie obejść ASLR.
Ponadto dyrektor Cloudflare poinformował, że firma rejestruje miliony prób wykorzystania luki PHP2Shell, przy czym na 10 godzin przed ogłoszeniem istnienia luk takich prób było już tysiące, a dwie godziny po oficjalnym ujawnieniu informacji osiągnęły setki tysięcy. Wygląda na to, że w atakach wykorzystywane są prototypy exploitów, które jedynie potwierdzają obecność podatnych wersji PHP, ponieważ jak na razie brak jest informacji o potwierdzonych przypadkach włamań przez luki PHP2Shell.
Według danych firmy Amazon pierwsze próby wykorzystania luki zostały zarejestrowane przez wdrożone systemy honeypot już 17 października, tj. trzy dni przed ujawnieniem pierwszych informacji o identyfikatorach CVE. Aktywność nasiliła się 21 października, na 12 godzin przed publikacją poprawek PHP, w tym czasie zarejestrowano próby ataków z wykorzystaniem kilku wariantów prototypów exploitów. Próby ataków przed oficjalnym ujawnieniem informacji zostały również zarejestrowane przez firmę Hadrian.
Źródło: opennet.ru
