Kërkuesit nga kompania VulnCheck kanë raporte që kanë marrë eksploitin e parë për vulnerabilitetin PHP2Shell (CVE-2026-109618), i cili kalon mekanizmin e rastësishmërisë së adresave (ASLR) në sistemet x86-64 me konfigurim standard PHP. Eksploitin lejon sulmin e sistemeve me PHP 8.4.10-8.4.26 në konfigurimin default. Më parë, vështirësia e përcaktimit të përbërjes së memories në modulin mod_php pengonte zbatimin e eksploitit që lejonte ekzekutimin e kodit në sisteme reale. Për ta kaluar ASLR, eksploitin përfshin një rrjedhje të informacionit mbi adresat në kodin e paraqitjes së mesazheve të gabimeve.
ĂshtĂ« raportuar se aksesi nĂ« eksploitin funksional ofrohet vetĂ«m pĂ«r klientĂ«t qĂ« merren me mbrojtjen e informacionit, por sulmuesit mund tĂ« riprodhojnĂ« teknikĂ«n e pĂ«rdorur duke pĂ«rdorur AI. PĂ«r njĂ« zgjidhje pĂ«r tĂ« bllokuar rrjedhjen e informacionit mbi pĂ«rbĂ«rjen e adresave, duhet tĂ« vendoset nĂ« php.ini parametrin 'display_errors=off', pĂ«rveç rekomandimeve tĂ« publikuara mĂ« parĂ«. VulnCheck gjithashtu pĂ«rmend se nĂ« GitHub kanĂ« dalĂ« qindra prototipa eksploitĂ«sh, por vetĂ«m njĂ« numĂ«r i vogĂ«l janĂ« vlerĂ«suar si funksionalĂ« dhe vetĂ«m njĂ« prototip ka arritur tĂ« kalojĂ« ASLR.
Përveç kësaj, drejtoresha e Cloudflare raportoi se kompania po regjistron miliona përpjekje për të shfrytëzuar vulnerabilitetin PHP2Shell, megjithatë, vetëm 10 orë para shpalljes së pranisë së vulnerabiliteteve, kishte tashmë mijëra përpjekje, dhe dy orë pas publikimit zyrtar të informacionit, shifrat arritën qindra mijëra. Duket se në sulme përdoren prototipa eksploitësh që vetëm regjistrojnë praninë e versioneve vulnerable PHP, pasi deri tani nuk ka informacion për fakte të konfirmuara të hackimit përmes vulnerabiliteteve PHP2Shell.
Sipas kompanisë Amazon, përpjekjet e para për shfrytëzim janë regjistruar nga sisteme honeypot të angazhuara më 17 tetor, pra 3 ditë para rrjedhjes së informacionit të parë mbi identifikuesit CVE. Aktiviteti u intensifikua më 21 tetor, 12 orë para publikimit të përditësimeve korrigjuese të PHP, dhe gjatë kësaj kohe janë regjistruar përpjekje sulmi duke përdorur disa variacione të prototipave të eksploitëve. Kompania Hadrian gjithashtu ka regjistruar përpjekjet e sulmeve para publikimit zyrtar të informacionit.
Burimi: opennet.ru
