VulnCheck 的研究人员公布了首个针对 PHP2Shell 漏洞 (CVE-2026-109618b) 的利用程序，该程序可以绕过典型 PHP 配置的 x86-64 系统上的地址空间随机化机制 (ASLR)。攻击者可以利用该漏洞攻击运行默认配置的 PHP 8.4.10 至 8.4.26 版本的系统。此前，由于难以确定 mod_php 模块中的内存布局，因此无法实现可在真实系统上执行代码的漏洞利用程序。为了绕过 ASLR，该漏洞利用程序利用了错误显示代码中的地址泄漏。
据称，只有信息安全领域的客户才能访问该漏洞利用程序，但攻击者可以使用人工智能技术重现该漏洞。为了绕过 URL 映射泄露，除了之前发布的建议外，还需要在 php.ini 文件中设置“display_errors=off”参数。VulnCheck 还指出，GitHub 上出现了数百个漏洞利用程序原型，但只有少数几个被评估为有效，而且只有一个原型能够绕过 ASLR。
此外，Cloudflare 的首席执行官报告称，该公司已记录到数百万次试图利用 PHP2Shell 漏洞的攻击，而漏洞公布前 10 小时此类攻击仅有数千次，公布后两小时则高达数十万次。显然，这些攻击者使用的是仅能检测是否存在易受攻击的 PHP 版本的原型漏洞利用程序，因为目前尚无通过 PHP2Shell 漏洞成功入侵的案例。
据亚马逊称，早在10月17日，也就是最初的CVE编号泄露三天前，部署的蜜罐系统就检测到了首次攻击尝试。10月21日，也就是PHP补丁发布前12小时，攻击活动加剧，期间检测到了使用多种漏洞利用原型变体的攻击尝试。Hadrian也在官方披露之前检测到了攻击尝试。
来源： opennet.ru
