Cercetătorii de la VulnCheck au anunțat obținerea primei exploatări pentru vulnerabilitatea PHP2Shell (CVE-2026-109618b), care ocolește mecanismul de randomizare a adreselor (ASLR) pe sistemele x86-64 cu configurația standard PHP. Exploatarea permite atacarea sistemelor cu PHP 8.4.10-8.4.26 în configurația implicită. Anterior, dificultatea de a determina aranjarea memoriei în modulul mod_php împiedica implementarea exploatării pentru executarea codului pe sisteme reale. Pentru a ocoli ASLR, exploatarea implică scurgeri de informații despre adrese în codul de afișare a mesajelor de eroare.
Se susține că accesul la exploatarea funcțională a fost oferit doar clienților care se ocupă cu protecția informației, dar infractorii cibernetici pot recrea tehnica folosită cu ajutorul AI. Pentru a stopa blocarea scurgerii informațiilor despre aranjarea adreselor, este necesar să se seteze în php.ini parametrul „display_errors=off”, pe lângă recomandările publicate anterior. VulnCheck menționează de asemenea că pe GitHub au apărut sute de prototipuri de exploatări, dar doar câteva au fost evaluate ca fiind funcționale și doar un prototip a reușit să ocolească ASLR.
În plus, directorul Cloudflare a declarat că compania înregistrează milioane de încercări de exploatare a vulnerabilității PHP2Shell, în condițiile în care, cu 10 ore înainte de anunțarea existenței vulnerabilităților, aceste încercări erau deja mii, iar la două ore după dezvăluirea oficială a informațiilor au ajuns la sute de mii. Se pare că în atacuri sunt folosite prototipuri de exploatare care doar confirmă existența versiunilor vulnerabile de PHP, deoarece nu există încă informații despre cazuri confirmate de hacking prin vulnerabilitățile PHP2Shell.
Conform companiei Amazon, primele încercări de exploatare au fost înregistrate de sistemele honeypot desfășurate pe 17 octombrie, adică cu 3 zile înainte de scurgerea primelor informații despre identificatorii CVE. Activitatea a crescut pe 21 octombrie, cu 12 ore înainte de publicarea actualizărilor corective PHP, iar în această perioadă au fost înregistrate încercări de atacuri folosind mai multe variante de prototipuri de exploatare. Încercările de atacuri înainte de dezvăluirea oficială a informațiilor au fost de asemenea înregistrate de compania Hadrian.
Sursa: opennet.ro
