{"id":183970,"date":"2026-10-23T11:41:04","date_gmt":"2026-10-23T09:41:04","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/dlya-uyazvimostej-php2shell-anonsirovan-pervyj-eksploit-obhodyashhij-randomizacziyu-adresov"},"modified":"2026-10-23T11:41:09","modified_gmt":"2026-10-23T09:41:09","slug":"first-exploit-bypassing-address-randomization-announced-for-php2shell-vulnerabilities","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/first-exploit-bypassing-address-randomization-announced-for-php2shell-vulnerabilities","title":{"rendered":"F\u00f6r PHP2Shell-s\u00e5rbarheter har den f\u00f6rsta exploiten tillk\u00e4nnagivits, som omg\u00e5r adressrandomisering.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Forskare fr\u00e5n f\u00f6retaget VulnCheck rapporterade att de har f\u00e5tt tag p\u00e5 den f\u00f6rsta exploiten f\u00f6r s\u00e5rbarheten PHP2Shell (CVE-2026-109618), som kringg\u00e5r mekanismen f\u00f6r adresserandomisering (ASLR) p\u00e5 system med x86-64 och standardkonfiguration av PHP. Exploiten m\u00f6jligg\u00f6r attacker mot system med PHP 8.4.10-8.4.26 i standardkonfiguration. Tidigare f\u00f6rsv\u00e5rade sv\u00e5righeterna att best\u00e4mma minneslayouten i modulen mod_php implementeringen av en exploit som skulle m\u00f6jligg\u00f6ra kodutf\u00f6rande p\u00e5 riktiga system. F\u00f6r att kringg\u00e5 ASLR utnyttjar exploiten en l\u00e4cka av information om adresser i koden f\u00f6r fels\u00f6kningsinformation. <\/p>\n
Det rapporteras att \u00e5tkomst till den fungerande exploiten endast ges till kunder som arbetar med informationss\u00e4kerhet, men illvilliga akt\u00f6rer kan \u00e5terskapa den anv\u00e4nda tekniken med hj\u00e4lp av AI. F\u00f6r att kringg\u00e5 blockeringen av l\u00e4ckage av information om adresslayouten b\u00f6r parameter «display_errors=off» st\u00e4llas in i php.ini, ut\u00f6ver tidigare publicerade rekommendationer. VulnCheck n\u00e4mner \u00e4ven att det p\u00e5 GitHub har dykt upp hundratals prototyper av exploiter, men endast ett f\u00e5tal har bed\u00f6mts som fungerande och endast en prototyp har kunnat kringg\u00e5 ASLR.<\/p>\n
Dessutom har direkt\u00f6ren f\u00f6r Cloudflare meddelat att f\u00f6retaget registrerar miljoner f\u00f6rs\u00f6k till utnyttjande av s\u00e5rbarheten PHP2Shell, \u00e4ven om det endast var tusentals s\u00e5dana f\u00f6rs\u00f6k 10 timmar f\u00f6re tillk\u00e4nnagivandet av s\u00e5rbarheten, och efter 2 timmar av den officiella informationen hade antalet n\u00e5tt hundratusentals. Det verkar som att attackerarna anv\u00e4nder prototyper av exploiter som bara registrerar n\u00e4rvaron av s\u00e5rbara versioner av PHP, eftersom det inte finns n\u00e5gra bekr\u00e4ftade uppgifter om intr\u00e5ng via s\u00e5rbarheter i PHP2Shell.<\/p>\n
Enligt f\u00f6retaget Amazon registrerades de f\u00f6rsta f\u00f6rs\u00f6ken att utnyttja s\u00e5rbarheten av distribuerade honeypot-system redan den 17 oktober, allts\u00e5 tre dagar innan de f\u00f6rsta uppgifterna om CVE-identifikatorerna l\u00e4cktes. Aktiviteten \u00f6kade den 21 oktober, 12 timmar innan publiceringen av korrigeringsuppdateringar f\u00f6r PHP, och under den tiden registrerades attacker med hj\u00e4lp av flera varianter av prototyper av exploiter. F\u00f6retaget Hadrian registrerade ocks\u00e5 attacker f\u00f6re den officiella informationen. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"