Den första exploiten som kringgår adressrandomisering har tillkännagivits för PHP2Shell-sårbarheter.

Forskare från VulnCheck tillkännagav den första exploiten för PHP2Shell-sårbarheten (CVE-2026-109618b), som kringgår mekanismen för randomisering av adressutrymme (ASLR) på x86-64-system med en typisk PHP-konfiguration. Exploiten tillåter angripare att attackera system som kör PHP 8.4.10-8.4.26 i standardkonfigurationer. Tidigare förhindrade svårigheten att bestämma minneslayouten i mod_php-modulen implementeringen av en exploit som skulle tillåta kodkörning på riktiga system. För att kringgå ASLR använder exploiten en adressläcka i felvisningskoden.

Åtkomst till den fungerande exploiten anges vara begränsad till informationssäkerhetsklienter, men angripare kan återskapa tekniken med hjälp av AI. För att kringgå URL-mappningsläckan, ställ in parametern "display_errors=off" i php.ini, utöver tidigare publicerade rekommendationer. VulnCheck noterar också att hundratals exploitprototyper har dykt upp på GitHub, men endast ett fåtal har bedömts som fungerande, och endast en prototyp kunde kringgå ASLR.

Dessutom rapporterade Cloudflares VD att företaget registrerar miljontals försök att utnyttja PHP2Shell-sårbarheten, jämfört med tusentals sådana försök 10 timmar innan sårbarheten tillkännagavs och hundratusentals två timmar efter det officiella avslöjandet. Tydligen använder attackerna prototypexploater som bara upptäcker närvaron av sårbara PHP-versioner, eftersom det inte finns några bekräftade fall av hackning genom PHP2Shell-sårbarheter.

Enligt Amazon upptäcktes de första exploateringsförsöken av driftsatta honeypot-system redan den 17 oktober, tre dagar innan de första CVE-identifierarna läckte ut. Aktiviteten intensifierades den 21 oktober, 12 timmar före lanseringen av PHP-patchen, under vilken tid attackförsök med flera varianter av exploateringsprototyper upptäcktes. Hadrian upptäckte också attackförsök före det officiella avslöjandet.

Källa: opennet.ru