Tyrėjas patvirtino, kad „PHP2Shell“ spragos išnaudojamos kibernetinėse atakose

Užpuolikai pasinaudojo „PHP2Shell“ pažeidžiamumais, kad vykdytų komandas masalo serveriuose. Tyrėjas, užfiksavęs šią veiklą, apibūdino tai kaip patvirtintą nuotolinį kodo vykdymą (RCE) – tai žingsnis toliau nei anksčiau pranešti skenavimai ir sistemos strigimai. Prieš tai saugumo įmonės buvo užfiksavusios milijonus bandymų išnaudoti spragas nuo tada, kai jos tapo viešos praėjusią savaitę, tačiau nė viena nebuvo patvirtinusi, kad kodas iš tikrųjų buvo sėkmingai įvykdytas, pranešė „SecurityWeek“.securityweek.com

„Medaus puodai“ užfiksavo 35 apvalkalus

Adel Karimi, „Perplexity“ tyrėjas, valdo „medaus puodus“, kuriuose veikia įprasti PHP pagrindu sukurti puslapiai. Jie naudoja PHP 8.4.26 versiją su „Apache mod_php“ ir vienu darbininku. Jo pirmoji ataskaita apėmė kiek daugiau nei 26 valandas ir užfiksavo 30 atminties klaidų bei 11 darbininko strigimų, tačiau kodo vykdymo nebuvo. Tačiau spalio 24 d. jo jutikliai užfiksavo 35 apvalkalus trijuose „medaus puoduose“. Vienas IP adresas sukūrė tris apvalkalus, o kitas – 32, teigia „SecurityWeek“.securityweek.com

Užpuolikai naudojo keturių etapų HTTP užklausų grandinę. Pirmosios užklausos išnaudojo PHP atmintį, kitos nutekino atminties turinį, o paskutinės įvykdė apvalkalo komandą. Srautas glaudžiai atitiko viešą CVE-2026-109618 išnaudojimo koncepciją ir joks antrojo etapo naudingasis krovinys nebuvo atsisiųstas. „Tai dabar yra patvirtintas RCE su naudinga atminties atskleidimo funkcija, o ne tik strigimas, po kurio seka įtartinas procesas“, – sakė Karimi. Jis pridūrė, kad apvalkalo komanda buvo įvykdyta maždaug 1,6 milisekundės po paskutinės užklausos.bleepingcomputer.com+1

Karimi įspėjo, kad jo sąranka buvo „tyčia palanki“ ir nematuoja, koks patikimas šis išnaudojimas yra kitose konfigūracijose. „Expel“ tyrėjas Marcusas Hutchinsas pavadino šias išvadas „kol kas aukščiausios kokybės patvirtinimu apie „PHP2Shell“ išnaudojimą laukinėje gamtoje“. Spalio 26 d. ryto duomenimis, CISA dar nebuvo įtraukusi šių spragų į savo žinomų išnaudotų pažeidžiamumų katalogą.securityweek.com

Pataisyta po nutekėjimo

Abi spragos CVSS 4.0 skalėje įvertintos 9,2 balo ir leidžia neautentifikuotiems užpuolikams vykdyti kodą sugadinant vidinę PHP atmintį, kai nepavyksta apdoroti užklausos. „Beazley Security“ duomenimis, PHP jas ištaisė spalio 21 d. versijose 8.5.12, 8.4.27, 8.3.36 ir 8.2.35. PHP paankstino išleidimą viena diena po to, kai CVE identifikatoriai nutekėjo „Hacker News“ svetainėje. „Amazon“ užfiksavo bandymą išnaudoti spragą spalio 17 d., likus keturioms dienoms iki atskleidimo. Spalio 23 d. duomenimis, daugiau nei 34,4 mln. PHP paslaugų vis dar buvo laikomos pažeidžiamomis.labs.beazley.security+3

DI „Juodasis spalis“

„Wiz“ ir „Calif“ tyrėjai spragas aptiko rugpjūčio mėnesį naudodami „OpenAI“ ir „Google“ DI modelius, pranešė CNBC. DI atrastų klaidų banga buvo pavadinta „Juoduoju spaliu“, o kai kurios organizacijos laikinai išjungė savo svetaines, kol atliko pataisymus. Investuotojai tikėjosi, kad šis epizodas padidins išlaidas saugumui. „Okta“ ↗ 2.77%, „Palo Alto Networks“ ↗ 0.94% ir „CrowdStrike“ ↗ 1.30% akcijos praėjusią savaitę pabrango, praneša „Zacks“ per „The Globe and Mail“. Vis dėlto „Arctic Wolf“ pranešė apie „palyginti mažai įrodymų, kad išnaudojimas būtų patikimas dideliu mastu“.theglobeandmail.com+3