Watafiti kutoka VulnCheck walitangaza unyonyaji wa kwanza kwa udhaifu wa PHP2Shell (CVE-2026-109618b), ambao hupita utaratibu wa upangiliaji wa nafasi ya anwani (ASLR) kwenye mifumo ya x86-64 yenye usanidi wa kawaida wa PHP. Unyonyaji huruhusu washambuliaji kushambulia mifumo inayoendesha PHP 8.4.10-8.4.26 katika usanidi chaguo-msingi. Hapo awali, ugumu wa kubaini mpangilio wa kumbukumbu katika moduli ya mod_php ulizuia utekelezaji wa unyonyaji ambao ungeruhusu utekelezaji wa msimbo kwenye mifumo halisi. Ili kuipita ASLR, unyonyaji hutumia uvujaji wa anwani katika msimbo wa kuonyesha hitilafu.
Ufikiaji wa matumizi ya kazi unatajwa kuwa mdogo kwa wateja wa usalama wa habari, lakini washambuliaji wanaweza kuunda upya mbinu hiyo kwa kutumia AI. Ili kuepuka uvujaji wa ramani ya URL, weka kigezo cha "display_errors=off" katika php.ini, pamoja na mapendekezo yaliyochapishwa hapo awali. VulnCheck pia inabainisha kuwa mamia ya mifano ya matumizi yameonekana kwenye GitHub, lakini ni michache tu imetathminiwa kuwa inafanya kazi, na ni mfano mmoja tu ulioweza kukwepa ASLR.
Zaidi ya hayo, Mkurugenzi Mtendaji wa Cloudflare aliripoti kwamba kampuni hiyo inarekodi mamilioni ya majaribio ya kutumia udhaifu wa PHP2Shell, ikilinganishwa na maelfu ya majaribio kama hayo saa 10 kabla ya udhaifu huo kutangazwa, na mamia ya maelfu saa mbili baada ya kufichuliwa rasmi. Inavyoonekana, mashambulizi hayo yanatumia mbinu za mfano zinazogundua tu uwepo wa matoleo ya PHP yaliyo hatarini, kwani hakuna matukio yaliyothibitishwa ya udukuzi kupitia udhaifu wa PHP2Shell.
Kulingana na Amazon, majaribio ya kwanza ya unyonyaji yaligunduliwa na mifumo ya honeypot iliyotumika mapema Oktoba 17, siku tatu kabla ya vitambulisho vya awali vya CVE kuvuja. Shughuli iliongezeka mnamo Oktoba 21, saa 12 kabla ya kutolewa kwa kiraka cha PHP, wakati ambapo majaribio ya mashambulizi kwa kutumia aina kadhaa za prototype ya unyonyaji yaligunduliwa. Hadrian pia aligundua majaribio ya mashambulizi kabla ya ufichuzi rasmi.
Chanzo: opennet.ru
