Các nhà nghiên cứu từ VulnCheck đã công bố khai thác đầu tiên cho lỗ hổng PHP2Shell (CVE-2026-109618b), cho phép vượt qua cơ chế ngẫu nhiên hóa không gian địa chỉ (ASLR) trên các hệ thống x86-64 với cấu hình PHP thông thường. Khai thác này cho phép kẻ tấn công nhắm vào các hệ thống chạy PHP 8.4.10-8.4.26 với cấu hình mặc định. Trước đây, khó khăn trong việc xác định bố cục bộ nhớ trong mô-đun mod_php đã ngăn cản việc triển khai một khai thác cho phép thực thi mã trên các hệ thống thực. Để vượt qua ASLR, khai thác này sử dụng rò rỉ địa chỉ trong mã hiển thị lỗi.
Quyền truy cập vào mã khai thác đang hoạt động được cho là chỉ giới hạn cho các khách hàng bảo mật thông tin, nhưng kẻ tấn công có thể tái tạo kỹ thuật này bằng trí tuệ nhân tạo (AI). Để khắc phục lỗ hổng rò rỉ ánh xạ URL, hãy đặt tham số "display_errors=off" trong php.ini, ngoài các khuyến nghị đã được công bố trước đó. VulnCheck cũng lưu ý rằng hàng trăm nguyên mẫu khai thác đã xuất hiện trên GitHub, nhưng chỉ một vài trong số đó được đánh giá là hoạt động hiệu quả, và chỉ có một nguyên mẫu có khả năng vượt qua ASLR.
Hơn nữa, CEO của Cloudflare cho biết công ty đang ghi nhận hàng triệu nỗ lực khai thác lỗ hổng PHP2Shell, so với hàng nghìn nỗ lực như vậy 10 giờ trước khi lỗ hổng được công bố và hàng trăm nghìn nỗ lực hai giờ sau khi công bố chính thức. Rõ ràng, các cuộc tấn công đang sử dụng các công cụ khai thác nguyên mẫu chỉ phát hiện sự hiện diện của các phiên bản PHP dễ bị tổn thương, vì chưa có trường hợp nào được xác nhận là đã tấn công thông qua lỗ hổng PHP2Shell.
Theo Amazon, những nỗ lực khai thác đầu tiên đã được phát hiện bởi các hệ thống honeypot được triển khai từ ngày 17 tháng 10, ba ngày trước khi các mã định danh CVE ban đầu bị rò rỉ. Hoạt động gia tăng mạnh vào ngày 21 tháng 10, 12 giờ trước khi bản vá PHP được phát hành, trong thời gian đó các nỗ lực tấn công sử dụng một số biến thể nguyên mẫu khai thác đã được phát hiện. Hadrian cũng đã phát hiện các nỗ lực tấn công trước khi thông tin được công bố chính thức.
Nguồn: opennet.ru
