Специалисты VulnCheck объявили о создании первого рабочего эксплоита для уязвимости PHP2Shell (CVE-2026-109618б), который обходит рандомизацию адресного пространства (ASLR) на x86-64-системах с типичными настройками PHP.
Эксплоит нацелен на установки с PHP 8.4.10–8.4.26 в конфигурации по умолчанию. До этого камнем преткновения оставалась невозможность определить раскладку памяти в модуле mod_php — без этого выполнение кода на реальных машинах не запускалось. Обойти ASLR удалось за счёт утечки сведений об адресах через код, который выводит информацию об ошибках.
Доступ к работающему эксплоиту получили только клиенты, занятые в сфере информационной защиты. Вместе с тем, по оценке VulnCheck, злоумышленники вполне способны воспроизвести применённую технику с помощью инструментов на базе ИИ. В качестве обходного способа перекрыть утечку данных о раскладке адресов предлагается выставить в php.ini параметр «display_errors=off» — в дополнение к ранее опубликованным рекомендациям.
На GitHub тем временем расплодились сотни прототипов эксплоитов. Однако лишь единицы признаны работоспособными, а обойти ASLR сумел вообще только один из них. Директор Cloudflare сообщил, что компания наблюдает миллионы попыток эксплуатации PHP2Shell. За 10 часов до анонса уязвимостей фиксировались тысячи попыток, а спустя 2 часа после официального раскрытия информации счёт пошёл на сотни тысяч. Судя по характеру атак, применяются прототипы, которые лишь проверяют наличие уязвимых версий PHP: подтверждённых случаев взлома через PHP2Shell пока нет.
По данным Amazon, первые попытки эксплуатации попали в логи развёрнутых honeypot-систем ещё 17 октября — за три дня до утечки первых сведений об CVE-идентификаторах. Всплеск активности пришёлся на 21 октября, за 12 часов до публикации корректирующих обновлений PHP: тогда зафиксировали атаки с использованием нескольких вариантов прототипов эксплоитов. Попытки атак до официального раскрытия информации отметила и компания Hadrian.
Загрузка...
