Raziskovalci iz podjetja VulnCheck so napovedali prvo izkoriščanje ranljivosti PHP2Shell (CVE-2026-109618b), ki zaobide mehanizem naključnega določanja naslovnega prostora (ASLR) v sistemih x86-64 s tipično konfiguracijo PHP. Izkoriščanje napadalcem omogoča napad na sisteme, ki v privzetih konfiguracijah izvajajo PHP 8.4.10-8.4.26. Prej je težava pri določanju razporeditve pomnilnika v modulu mod_php preprečevala implementacijo izkoriščanja, ki bi omogočilo izvajanje kode v resničnih sistemih. Za obhod ASLR izkoriščanje uporablja puščanje naslova v kodi za prikaz napake.
Dostop do delujočega izkoriščanja naj bi bil omejen na odjemalce informacijske varnosti, vendar lahko napadalci tehniko poustvarijo z umetno inteligenco. Če želite zaobiti puščanje URL-jev, nastavite parameter »display_errors=off« v php.ini, poleg že objavljenih priporočil. VulnCheck tudi ugotavlja, da se je na GitHubu pojavilo na stotine prototipov izkoriščanja, vendar je bilo le nekaj ocenjenih kot delujočih in le en prototip je bil sposoben zaobiti ASLR.
Poleg tega je izvršni direktor podjetja Cloudflare poročal, da podjetje beleži milijone poskusov izkoriščanja ranljivosti PHP2Shell, v primerjavi s tisoči takih poskusov 10 ur pred objavo ranljivosti in več sto tisoč dve uri po uradnem razkritju. Očitno napadi uporabljajo prototipe izkoriščanja, ki zaznajo le prisotnost ranljivih različic PHP, saj ni potrjenih primerov vdora prek ranljivosti PHP2Shell.
Po navedbah Amazona so prve poskuse izkoriščanja zaznali nameščeni sistemi honeypot že 17. oktobra, tri dni preden so ušli začetni identifikatorji CVE. Aktivnost se je okrepila 21. oktobra, 12 ur pred izdajo popravka za PHP, v tem času pa so bili zaznani poskusi napadov z uporabo več prototipov izkoriščanja. Tudi Hadrian je zaznal poskuse napadov pred uradnim razkritjem.
Vir: opennet.ru
