Výskumníci z firmy VulnCheck oznámili o získaní prvého exploitu pre zraniteľnosť PHP2Shell (CVE-2026-109618b), ktorý obchádza mechanizmus randomizácie adries (ASLR) na systémoch x86-64 s typickou konfiguráciou PHP. Exploit umožňuje napádať systémy s PHP 8.4.10-8.4.26 v predvolenej konfigurácii. Predtým obtiažnosť určenia rozloženia pamäte v module mod_php bránila implementácii exploitu, ktorý umožňoval dosiahnuť vykonávanie kódu na reálnych systémoch. Na obídenie ASLR sa v exploite využíva únik informácií o adresách v kóde zobrazovania chýb.
Bolo označené, že prístup k pracovnému exploitu bol poskytnutý iba klientom zaoberajúcim sa ochranou informácií, no útočníci môžu obnoviť používanú techniku pomocou AI. Pre obídenie blokovania úniku informácií o rozložení adries je potrebné nastaviť v php.ini parameter „display_errors=off“, okrem predtým zverejnených odporúčaní. VulnCheck tiež uvádza, že na GitHub-e sa objavili stovky prototypov exploitov, ale len niekoľko z nich bolo ocenených ako funkčné a len jeden prototype bol schopný obísť ASLR.
Okrem toho riaditeľ Cloudflare oznámil, že spoločnosť zaznamenáva milióny pokusov o exploitáciu zraniteľnosti PHP2Shell, pričom 10 hodín pred oznámením o zraniteľnostiach už bolo zaznamenaných tisíce pokusov a dve hodiny po oficiálnom odhalení informácií ich počet dosiahol stovky tisíc. Zjavne sú v útokoch využívané prototypy exploitov, ktoré len potvrdzujú existenciu zraniteľných verzií PHP, keďže zatiaľ nie sú žiadne informácie o potvrdených prípadoch prenikania cez zraniteľnosti PHP2Shell.
Podľa údajov spoločnosti Amazon boli prvé pokusy o exploitáciu zaznamenané nasadenými honeypot systémami už 17. októbra, t.j. 3 dni pred únikom prvých informácií o CVE identifikátoroch. Aktivita sa zvýšila 21. októbra, 12 hodín pred zverejnením opravného aktualizácie PHP, kedy boli zaznamenané pokusy o útok s využitím niekoľkých variant prototypov exploitov. Pokusy o útoky pred oficiálnym odhalením informácií zaznamenala aj spoločnosť Hadrian.
Zdroj: opennet.ru
