Pesquisadores da VulnCheck relataram a obtenção do primeiro exploit para a vulnerabilidade PHP2Shell (CVE-2026-109618b), que contorna o mecanismo de randomização de endereços (ASLR) em sistemas x86-64 com configuração padrão do PHP. O exploit permite a exploração de sistemas com PHP 8.4.10-8.4.26 na configuração padrão. Anteriormente, a dificuldade em determinar o layout de memória no módulo mod_php dificultava a implementação de um exploit que permitisse a execução de código em sistemas reais. Para contornar o ASLR, o exploit utiliza vazamentos de informações sobre endereços no código de exibição de informações de erro.
Foi relatado que o acesso ao exploit funcional é concedido apenas a clientes que trabalham com segurança da informação, mas os criminosos podem recriar a técnica usada com a ajuda da IA. Para contornar a bloqueio de vazamentos de informações sobre o layout de endereços, o parâmetro "display_errors=off" deve ser configurado no php.ini, além das recomendações previamente publicadas. A VulnCheck também menciona que centenas de protótipos de exploits surgiram no GitHub, mas apenas alguns foram avaliados como funcionais e apenas um protótipo conseguiu contornar o ASLR.
Além disso, o diretor da Cloudflare informou que a empresa registrou milhões de tentativas de exploração da vulnerabilidade PHP2Shell, sendo que, 10 horas antes do anúncio das vulnerabilidades, já havia milhares de tentativas, e duas horas após o anúncio oficial, este número alcançou centenas de milhares. Parece que os ataques estão utilizando protótipos de exploits que apenas confirmam a presença de versões vulneráveis do PHP, uma vez que ainda não há informações sobre casos confirmados de invasões através das vulnerabilidades PHP2Shell.
De acordo com a Amazon, as primeiras tentativas de exploração foram registradas por sistemas honeypot implantados em 17 de outubro, ou seja, 3 dias antes do vazamento das primeiras informações sobre os identificadores CVE. A atividade aumentou em 21 de outubro, 12 horas antes da publicação das atualizações corretivas do PHP, sendo que nesse período foram registradas tentativas de ataque utilizando várias versões de protótipos de exploits. A empresa Hadrian também registrou tentativas de ataque antes do anúncio oficial.
Fonte: opennet.ru
