VulnCheck araştırmacıları, tipik bir PHP yapılandırmasına sahip x86-64 sistemlerde adres alanı rastgeleleştirme mekanizmasını (ASLR) atlayan PHP2Shell güvenlik açığı (CVE-2026-109618b) için ilk istismarı duyurdu. Bu istismar, saldırganların varsayılan yapılandırmalarda PHP 8.4.10-8.4.26 çalıştıran sistemlere saldırmasına olanak tanıyor. Daha önce, mod_php modülündeki bellek düzenini belirlemenin zorluğu, gerçek sistemlerde kod yürütülmesine izin verecek bir istismarın uygulanmasını engelliyordu. ASLR'yi atlamak için istismar, hata görüntüleme kodundaki bir adres sızıntısını kullanıyor.
Çalışan güvenlik açığına erişimin yalnızca bilgi güvenliği müşterileriyle sınırlı olduğu belirtiliyor, ancak saldırganlar yapay zeka kullanarak bu tekniği yeniden oluşturabilirler. URL eşleme açığını atlatmak için, daha önce yayınlanan önerilere ek olarak, php.ini dosyasında "display_errors=off" parametresini ayarlayın. VulnCheck ayrıca GitHub'da yüzlerce güvenlik açığı prototipinin ortaya çıktığını, ancak yalnızca birkaçının çalışır durumda olduğunun değerlendirildiğini ve yalnızca bir prototipin ASLR'yi atlatabildiğini belirtiyor.
Ayrıca, Cloudflare CEO'su, şirketin PHP2Shell güvenlik açığından yararlanmaya yönelik milyonlarca girişim kaydettiğini, bu sayının güvenlik açığının duyurulmasından 10 saat önce binlerce, resmi açıklamanın ardından ise iki saat sonra yüz binlerceye ulaştığını bildirdi. Görünüşe göre, saldırılar yalnızca savunmasız PHP sürümlerinin varlığını tespit eden prototip istismar yöntemlerini kullanıyor, çünkü PHP2Shell güvenlik açıklarından yararlanılarak yapılan herhangi bir doğrulanmış saldırı örneği bulunmuyor.
Amazon'a göre, ilk istismar girişimleri, ilk CVE tanımlayıcılarının sızdırılmasından üç gün önce, 17 Ekim gibi erken bir tarihte, devreye alınan tuzak sistemleri tarafından tespit edildi. Aktivite, PHP yama sürümünden 12 saat önce, 21 Ekim'de yoğunlaştı ve bu süre zarfında çeşitli istismar prototip varyantlarını kullanan saldırı girişimleri tespit edildi. Hadrian ayrıca resmi açıklama öncesinde de saldırı girişimlerini tespit etti.
Kaynak: opennet.ru
