För PHP2Shell-sårbarheter har den första exploiten tillkännagivits, som omgår adressrandomisering.

Forskare från företaget VulnCheck rapporterade att de har fått tag på den första exploiten för sårbarheten PHP2Shell (CVE-2026-109618), som kringgår mekanismen för adresserandomisering (ASLR) på system med x86-64 och standardkonfiguration av PHP. Exploiten möjliggör attacker mot system med PHP 8.4.10-8.4.26 i standardkonfiguration. Tidigare försvårade svårigheterna att bestämma minneslayouten i modulen mod_php implementeringen av en exploit som skulle möjliggöra kodutförande på riktiga system. För att kringgå ASLR utnyttjar exploiten en läcka av information om adresser i koden för felsökningsinformation.

Det har rapporterats att tillgången till den fungerande exploiten endast ges till kunder som arbetar med informationssäkerhet, men illvilliga aktörer kan återskapa den använda tekniken med hjälp av AI. För att blockera läckan av information om adresslayouten bör parametern "display_errors=off" ställas in i php.ini, utöver tidigare publicerade rekommendationer. VulnCheck nämner även att hundratals prototyper av exploiter har dykt upp på GitHub, men endast några få har bedömts som användbara och endast en prototyp har visat sig kunna kringgå ASLR.

Dessutom har direktören för Cloudflare meddelat att företaget registrerar miljoner försök till utnyttjande av sårbarheten PHP2Shell, även om det endast var tusentals sådana försök 10 timmar före tillkännagivandet av sårbarheten, och efter 2 timmar av den officiella informationen hade antalet nått hundratusentals. Det verkar som att attackerarna använder prototyper av exploiter som bara registrerar närvaron av sårbara versioner av PHP, eftersom det inte finns några bekräftade uppgifter om intrång via sårbarheter i PHP2Shell.

Enligt företaget Amazon registrerades de första försöken att utnyttja sårbarheten av distribuerade honeypot-system redan den 17 oktober, alltså tre dagar innan de första uppgifterna om CVE-identifikatorerna läcktes. Aktiviteten ökade den 21 oktober, 12 timmar innan publiceringen av korrigeringsuppdateringar för PHP, och under den tiden registrerades attacker med hjälp av flera varianter av prototyper av exploiter. Företaget Hadrian registrerade också attacker före den officiella informationen.

Källa: opennet.ru