Дослідники з компанії VulnCheck заявили про отримання першого експлоїту для вразливості PHP2Shell (CVE-2026-109618б), що обходить механізм рандомізації адрес (ASLR) на системах x86-64 з типовою конфігурацією PHP. Експлоїт дозволяє атакувати системи з PHP 8.4.10-8.4.26 у конфігурації за умовчанням. Раніше труднощі визначення розкладки пам'яті в модулі mod_php заважали реалізації експлоїту, що дозволяє досягти виконання коду на реальних системах. Для обходу ASLR в експлоїті задіяно виток інформації про адреси в коді відображення інформації про помилки.
Заявлено, що доступ до робочого експлоїту надано лише клієнтам, які займаються захистом інформації, але зловмисники можуть відтворити техніку, що використовується за допомогою AI. Для обхідного шляху блокування витоку інформації про розкладку адрес слід у php.ini параметр «display_errors=off», крім раніше опублікованих рекомендацій. VulnCheck також згадує про те, що на GitHub з'явилися сотні прототипів експлоїтів, але лише одиниці оцінені як робітники і лише один прототип був здатний обійти ASLR.
Крім цього, директор Cloudflare повідомив, що компанія фіксує мільйони спроб експлуатації вразливістю PHP2Shell, при тому що за 10 годин до анонсу наявності вразливостей таких спроб вже були тисячі, а через 2 години після офіційного розкриття інформації досягли сотень тисяч. Судячи з усього, в атаках використовуються прототипи експлоїтів, що лише фіксують наявність вразливих версій PHP, оскільки поки немає інформації про підтверджені факти злому через вразливість PHP2Shell.
За даними компанії Amazon перші спроби експлуатації зафіксовані розгорнутими honeypot-системами ще 17 жовтня, тобто. за 3 для до витоку перших відомостей про CVE-ідентифікатори. Активність посилилася 21 жовтня, за 12 годин до публікації коригувальних оновлень PHP, у цей час зафіксовано спроби атак із використанням кількох варіантів прототипів експлоїтів. Спроби атак до офіційного розкриття інформації зафіксувала компанія Hadrian.
Джерело: opennet.ru
