Newsletter Subscribe
Enter your email address below and subscribe to our newsletter
[forminator_form id="25163"]

securityweek.com+1.labs.beazley.security+1.cnbc.com+1.Útočníci využili zranitelnosti PHP2Shell ke spouštění příkazů shellu na návnadových serverech. Výzkumník, který aktivitu zachytil, ji popsal jako potvrzené vzdálené spuštění kódu (RCE), což je krok nad rámec dříve hlášených skenování a pádů systémů. Předtím bezpečnostní firmy zaznamenaly miliony pokusů o zneužití od doby, kdy se chyby staly minulý týden veřejnými, ale nikdo nepotvrdil, že kód skutečně proběhl, uvedl SecurityWeek.securityweek.com
Adel Karimi, výzkumník v Perplexity, provozuje honeypoty, které obsluhují běžné stránky běžící na PHP. Používají PHP 8.4.26 pod Apache mod_php s jedním workerem. Jeho první zpráva pokrývala něco málo přes 26 hodin a zaznamenala 30 chyb nedostatku paměti a 11 pádů workerů, bez spuštění kódu. Dne 24. října však jeho senzory zaznamenaly 35 shellů na třech honeypotech. Jedna IP adresa vytvořila tři shelly a další jich vygenerovala 32, uvádí SecurityWeek.securityweek.com
Útočníci použili čtyřstupňový řetězec HTTP požadavků. První požadavky vyčerpaly paměť PHP, další unikly obsah paměti a poslední spustil příkaz shellu. Provoz těsně odpovídal veřejnému proof-of-concept exploitu pro CVE-2026-109618 a žádný payload druhé fáze nebyl stažen. "Toto je nyní potvrzené RCE s využitelným vyzrazením paměti, nikoliv jen pád následovaný podezřelým procesem," řekl Karimi. Dodal, že příkaz shellu proběhl asi 1,6 milisekundy po posledním požadavku.bleepingcomputer.com+1
Karimi varoval, že jeho nastavení bylo "záměrně příznivé" a neměří, jak spolehlivý je exploit v jiných konfiguracích. Výzkumník Marcus Hutchins ze společnosti Expel označil zjištění za "zdaleka nejkvalitnější potvrzení zneužití PHP2Shell v reálném provozu, jaké jsem zatím viděl". K ránu 26. října CISA chyby ještě nepřidala do svého katalogu známých zneužitých zranitelností.securityweek.com
Obě chyby jsou hodnoceny 9,2 podle CVSS 4.0 a umožňují neautentizovaným útočníkům spustit kód poškozením vnitřní paměti PHP při selhání zpracování požadavku. PHP je opravilo 21. října ve verzích 8.5.12, 8.4.27, 8.3.36 a 8.2.35, uvádí Beazley Security. PHP posunulo vydání o den poté, co identifikátory CVE unikly na Hacker News. Amazon zaznamenal pokus o zneužití 17. října, čtyři dny před zveřejněním. K 23. říjnu bylo stále vyhodnoceno jako zranitelných více než 34,4 milionu služeb PHP.labs.beazley.security+3
Výzkumníci ze společností Wiz a Calif našli chyby v srpnu pomocí modelů AI od OpenAI a Google, uvedla CNBC. Vlna chyb objevených pomocí AI byla nazvána "Černý říjen" a některé organizace odpojily své webové stránky, zatímco prováděly opravy. Investoři sázeli na to, že tato epizoda zvýší výdaje na bezpečnost. Akcie společností Okta , Palo Alto Networks a CrowdStrike minulý týden posílily, uvádí Zacks prostřednictvím The Globe and Mail. Přesto Arctic Wolf hlásil "relativně málo důkazů o spolehlivém zneužití ve velkém měřítku".theglobeandmail.com+3