นักวิจัยจาก VulnCheck ประกาศการค้นพบช่องโหว่ PHP2Shell (CVE-2026-109618b) เป็นครั้งแรก ซึ่งสามารถหลีกเลี่ยงกลไกการสุ่มตำแหน่งหน่วยความจำ (ASLR) บนระบบ x86-64 ที่ใช้การกำหนดค่า PHP ทั่วไป ช่องโหว่นี้อนุญาตให้ผู้โจมตีสามารถโจมตีระบบที่ใช้ PHP เวอร์ชัน 8.4.10-8.4.26 ในการกำหนดค่าเริ่มต้นได้ ก่อนหน้านี้ ความยากลำบากในการระบุโครงสร้างหน่วยความจำในโมดูล mod_php ทำให้ไม่สามารถสร้างช่องโหว่ที่สามารถเรียกใช้โค้ดบนระบบจริงได้ เพื่อหลีกเลี่ยง ASLR ช่องโหว่นี้ใช้การรั่วไหลของตำแหน่งหน่วยความจำในโค้ดแสดงข้อผิดพลาด
มีการระบุว่าการเข้าถึงช่องโหว่ที่ใช้งานได้นั้นจำกัดเฉพาะลูกค้าด้านความปลอดภัยของข้อมูล แต่ผู้โจมตีสามารถสร้างเทคนิคนี้ขึ้นมาใหม่ได้โดยใช้ AI เพื่อหลีกเลี่ยงช่องโหว่การแมป URL ให้ตั้งค่าพารามิเตอร์ "display_errors=off" ในไฟล์ php.ini นอกเหนือจากคำแนะนำที่เผยแพร่ก่อนหน้านี้ VulnCheck ยังระบุอีกว่าต้นแบบช่องโหว่หลายร้อยรายการปรากฏบน GitHub แต่มีเพียงไม่กี่รายการเท่านั้นที่ได้รับการประเมินว่าใช้งานได้ และมีเพียงต้นแบบเดียวเท่านั้นที่สามารถหลีกเลี่ยง ASLR ได้
นอกจากนี้ ซีอีโอของ Cloudflare รายงานว่า บริษัทกำลังบันทึกความพยายามในการโจมตีช่องโหว่ PHP2Shell หลายล้านครั้ง เทียบกับหลายพันครั้งเมื่อ 10 ชั่วโมงก่อนที่จะมีการประกาศช่องโหว่ และหลายแสนครั้งสองชั่วโมงหลังจากการเปิดเผยอย่างเป็นทางการ เห็นได้ชัดว่า การโจมตีใช้เครื่องมือโจมตีต้นแบบที่ตรวจจับได้เฉพาะการมีอยู่ของเวอร์ชัน PHP ที่มีช่องโหว่เท่านั้น เนื่องจากยังไม่มีรายงานยืนยันการแฮ็กผ่านช่องโหว่ PHP2Shell
จากข้อมูลของ Amazon การพยายามโจมตีครั้งแรกถูกตรวจพบโดยระบบ honeypot ที่ติดตั้งไว้ตั้งแต่วันที่ 17 ตุลาคม ซึ่งเป็นเวลาสามวันก่อนที่รหัส CVE ชุดแรกจะรั่วไหลออกมา กิจกรรมการโจมตีทวีความรุนแรงขึ้นในวันที่ 21 ตุลาคม 12 ชั่วโมงก่อนการปล่อยแพทช์ PHP โดยในช่วงเวลานั้นมีการตรวจพบการพยายามโจมตีโดยใช้รูปแบบการโจมตีหลายแบบ Hadrian ยังตรวจพบการพยายามโจมตีเหล่านั้นก่อนการเปิดเผยอย่างเป็นทางการอีกด้วย
ที่มา: opennet.ru
